想要确认一个网站是否真的在用 Trust Tokens 做反欺诈？别指望界面上会弹出什么提示——这种技术全程静默，所有证据都藏在网络请求和 JavaScript API 的状态里。你得亲自打开开发者工具，一步步挖出来。下面就是一套完整的验证流程，从捕获请求到检查响应头，再到本地令牌状态，一步不缺。

如果你正在使用谷歌浏览器访问某个支持 Trust Tokens 的网站，想确认它是否真的在利用这个机制进行反欺诈验证，那么手动检查这些细节是唯一的路。因为 Trust Token 全程无用户可见交互，所有信号都藏匿在网络请求与 JavaScript API 的状态中。

通过 Network 面板捕获 Trust Token 发行与赎回请求

Trust Token 的发行（issue）和赎回（redeem）都是以 fetch 请求的形式发出的。请求的 URL 路径或请求头里必然会带上特定的关键词。找到这些请求，就是定位反欺诈行为的第一线索。

• 步骤1：打开你的目标网站，确保页面已经触发了登录、订阅或者加载内容这类可能引发 Trust Token 流程的操作。
  【特别提醒】如果页面还没有执行任何可信行为（比如还没完成 reCAPTCHA 或者登录发行者账号），那 Trust Token 请求压根不会出现。
• 步骤2：按下 F12（Windows/Linux）或 Command+Option+I（Mac）打开开发者工具 → 切换到 Network 选项卡 → 勾选“Preserve log”。这一步是为了防止页面跳转时历史请求被清空。
• 步骤3：在过滤栏输入 issue 或 redeem，回车筛选。如果没找到任何结果，先清除过滤条件，然后按 Ctrl+E（Cmd+E）启用“Fetch/XHR”类型过滤再试一次——有时候请求类型不对就会被漏掉。
• 步骤4：点击任何一个匹配的请求，在 Headers 右侧面板中向下滚动，找到 Trust-Token 请求头。它的值必须是 token-request（发行阶段）或 token-redemption（赎回阶段），并且会带上 issuer=https://xxx 参数。看到这个，基本就锁定了。

检查响应头中的 Sec-Trust-Token 字段与 CORS 暴露配置

光有请求还不够——服务器必须在响应里明确声明支持 Trust Token，并且开放关键字段供前端读取。否则浏览器会静默丢弃令牌，等于白费功夫。

方法一：直接验证响应头完整性

• 在 Network 中选中上一步找到的那条 issue/redeem 请求。
• 展开 Response Headers 区域，查找 Sec-Trust-Token 字段。它的值应该是类似 version=1; issuer=https://issuer.example 这样的合法结构。
• 同时确认 Access-Control-Expose-Headers 响应头里是否包含 Sec-Trust-Token。如果缺少这个，JavaScript 就没法通过 response.headers.get('Sec-Trust-Token') 拿到验证依据，说明配置不完整。

方法二：快速排除无效响应

如果响应头里既没有 Sec-Trust-Token，也没有 Access-Control-Expose-Headers: Sec-Trust-Token，那这条请求就不构成有效的 Trust Token 反欺诈链路。不用再纠结，直接排除即可。

在 Console 中执行 document.hasTrustToken() 检测 API 可用性与令牌存在状态

这一步跟网络请求无关，纯粹是验证浏览器端的能力和本地令牌存储状态——能确认当前上下文是否具备执行 Trust Token 验证的基础条件。

第一步：确认 Trust Tokens API 是否启用

• 切换到开发者工具的 Console 标签页。
• 输入并执行：typeof document.hasTrustToken === 'function'。返回 true 表示 API 已就绪。

第二步：检测指定发行者是否有可用令牌

• 执行：await document.hasTrustToken('https://issuer.example')（记得把域名替换成实际的 issuer）。
• 如果返回 true，说明浏览器本地已经存了该发行者签发的有效令牌；如果返回 false，可能是还没发行，或者令牌已过期、被清除。注意：这个检查不会触发网络请求，完全是本地状态查询，速度快且没有副作用。

访问 chrome://net-internals/#trust-tokens 查看本地令牌存储详情

这是唯一能直观看到已存储 Trust Token 元数据的内置页面——发行者域名、发行时间、剩余有效期，甚至是否已被标记为不可用，一目了然。

• 在 Chrome 地址栏输入 chrome://net-internals/#trust-tokens 并回车。
• 页面加载后会自动列出所有已经存储的 Trust Token 条目。
• 点击任意条目右侧的“View”链接，可以查看完整的 JSON 格式令牌属性，包含 issuer、redemption_record_count、expires_at 等关键字段。
• 如果列表为空，说明当前配置文件下还没有接收或存储任何 Trust Token。哪怕网站代码调用了 API，也不会产生实际效果。

《夸克》非常好用的免费AI浏览器

下载APP查看