做個(gè)人作品集網(wǎng)站的人，幾乎都面臨同一個(gè)尷尬：想看流量數(shù)據(jù)，就得在Google Analytics和隱私合規(guī)之間二選一。要么忍受繁瑣的GDPR彈窗，要么接受統(tǒng)計(jì)結(jié)果嚴(yán)重失真——畢竟你的訪客里，裝廣告攔截器的開(kāi)發(fā)者比例高得驚人。

一位開(kāi)發(fā)者找到了第三條路。Apache服務(wù)器，純PHP環(huán)境，沒(méi)有數(shù)據(jù)庫(kù)，沒(méi)有Node.js，沒(méi)有Cookie橫幅。核心方案簡(jiǎn)單到近乎粗暴：一個(gè)tracker.php文件，每次頁(yè)面訪問(wèn)往logs/visits.tsv里寫(xiě)一行記錄。

真正的功夫花在五個(gè)安全決策上。

第一，零Cookie。這是整個(gè)方案的法律基礎(chǔ)。GDPR要求用戶同意的前提，是在用戶設(shè)備端存儲(chǔ)個(gè)人數(shù)據(jù)（Cookie）或能夠識(shí)別自然人。服務(wù)器端寫(xiě)日志文件，用戶無(wú)感知、無(wú)操作、無(wú)法律負(fù)擔(dān)。

第二，IP哈?；幚?。IP地址屬于個(gè)人數(shù)據(jù)，明文存儲(chǔ)直接踩線。方案采用加鹽SHA-256，截取前16位：

$ip_hash = substr(hash('sha256', ($_SERVER['REMOTE_ADDR'] ?? '') . 'cv_salt_xK9!2026'), 0, 16);

鹽值讓彩虹表攻擊失效，截?cái)嘧屇嫦蜻€原不可能。既能統(tǒng)計(jì)獨(dú)立訪客，又符合法國(guó)國(guó)家信息與自由委員會(huì)（CNIL）的豁免同意建議。

第三，前置機(jī)器人過(guò)濾。Google爬蟲(chóng)、Bing、監(jiān)控工具、Python腳本——不攔的話日志會(huì)迅速膨脹。User-Agent正則過(guò)濾掉95%的真實(shí)機(jī)器流量，偽裝成人類的爬蟲(chóng)另當(dāng)別論。

第四，日志目錄禁止Web訪問(wèn)。即使哈希化，數(shù)據(jù)也不該暴露。.htaccess一行Deny from all，Apache擋掉所有HTTP請(qǐng)求，PHP內(nèi)部寫(xiě)入不受影響。

第五，變量隔離。tracker.php通過(guò)require嵌入index.php，共享全局作用域。所有內(nèi)部變量加$_前綴，腳本末尾unset()清理，避免污染或意外暴露。

這套方案犧牲了實(shí)時(shí)看板、漏斗分析、用戶畫(huà)像——GA4能給的它都給不了。但它換來(lái)了三件事：五分鐘部署、零法律摩擦、對(duì)廣告攔截器免疫的完整數(shù)據(jù)。對(duì)于只想知道"哪篇博客真的有人在看"的個(gè)人站點(diǎn)，這恰恰是剛好的復(fù)雜度。