什么是第三方？
网站完全独立的情况非常少见。《HTTP 网络年鉴》显示，大多数网站（约有 95%）包含一些第三方内容。
《年鉴》将第三方内容定义为托管在共享和公共来源上的内容，广泛应用于
不受单个网站所有者的影响。可以是图片或其他媒体，例如视频、字体或脚本。
图片和脚本的作用是相辅相成的。第三方内容对于网站开发而言并不是必需的
也可能是这样您几乎肯定会使用从公共共享服务器加载的内容，
视频、广告或 JavaScript 库的嵌入式 iframe。例如，您可能使用的是 Google Fonts 提供的网络字体、
或使用 Google Analytics 衡量分析效果；您可能在社交网络上添加了“顶”按钮或“登录方式”按钮；
您可能嵌入了地图或视频，或者通过第三方服务处理购物购买交易；您可能会跟踪错误
通过第三方监控工具为您自己的开发团队进行日志记录。
出于隐私保护目的，考虑采用稍微不同且不太宽泛的定义非常有用：第三方资源，
尤其是第三方脚本，由共享的公共源提供，广泛用于插图，但同时也是编写的
由网站所有者以外的其他人提交在考虑如何保护您的个人版权归属时，第三方作者身份
用户的不侵犯他人隐私。您需要考虑存在哪些风险，然后决定如何或是否使用
保护第三方资源。如前所述，这些信息将帮助您了解
因此，了解您需要做出哪些取舍以及取舍意味着什么。
讨论“第三方资源”时，这并不是什么意思但总体而言，第一方和
而第三方实际上是一种使用环境从其他网站加载的脚本是第三方
而用于加载脚本的 HTTP 请求可能包含 Cookie，但这些 Cookie 实际上并不是“第三方 Cookie”；
它们只是 Cookie，以及它们是否是“第三方”或“第一方”取决于脚本是否正在
或脚本所有者网站上的某个网页。
我们为什么使用第三方资源？
第三方是向您的网站添加功能的好方法。这可能是向用户显示的功能，也可能是不可见的功能
开发功能（例如错误跟踪），但这些功能会降低开发工作量，而且脚本本身可以得到维护
包括您要包含的服务的开发团队。这一切都得益于 Web 的可组合性：
能够将多个部分组合在一起，形成一个整体，整体大于它们的总和。
HTTP Archive 的网络年历给出很好的描述：
第三方会源源不断地提供图片、视频
字体、工具、库、小部件、跟踪器、广告以及任何您能想到的可嵌入我们网页中的内容。这样一来，
即使是非技术人员也能创建内容并将其发布到网络上。如果没有第三方，网络可能
它以文本为主，只不过是单调乏味的学术媒介，而不再是生活中不可或缺的丰富、沉浸式的复杂平台
我们当中有很多人。
第三方资源可以做什么？
访问某些信息
当您在网站上使用第三方资源（无论其是什么）时，一些信息会传递给该第三方。
例如，如果您添加了来自其他网站的图片，用户浏览器发出的 HTTP 请求将传递引荐来源网址。
标头替换为网页网址以及用户的 IP 地址。
跨网站跟踪
继续前面的例子。当图片从第三方网站加载时，其中可能会包含 Cookie，而该 Cookie 会
在用户下一次请求该图片时发送回第三方。也就是说，第三方可以知道
服务会传回一个 Cookie，其中可能包含该用户的唯一 ID。这意味着
当用户下次访问您的网站或包含来自该第三方资源的任何其他网站时，系统就会记录一次
ID Cookie 会再次发送。这样，第三方就可以创建关于用户访问的位置的日志：您的网站、
在整个网络上使用相同的第三方资源。
这是跨网站跟踪：允许第三方收集用户在许多网站上的活动日志，只要这些网站
所有网站均使用来自同一第三方的资源。这可能是字体、图片或样式表，它们都是静态资源。
它也可能是动态资源：一段脚本、一个社交媒体按钮和广告。包含的脚本可以收集更多数据，
信息，因为它是动态的：它可以检查用户的浏览器和环境，并将该数据传回其创建者。
任何脚本都能在某种程度上实现此目标，并非以脚本形式呈现的动态资源（例如社交媒体嵌入）或
广告或分享按钮。如果您仔细观察热门网站上的 Cookie 横幅，就能看到一系列组织
。那里
可能数以百计如果第三方免费提供某项服务，有一种经济可行的方式
是因为他们收集这些数据，然后利用这些数据进行创收。
目标隐私威胁模型是一个有用的指南，可帮助您了解浏览器应保护用户免受哪些类型的隐私问题。
在撰写本文时，该文档仍在讨论中，但它对各类
存在的隐私威胁。来自第三方资源的风险主要是“不必要的跨网站识别”，
网站可以在多个网站上识别同一用户，还可以利用“敏感信息披露”政策，
用户认为敏感的信息。
这是一个关键的区别：多余的跨网站识别也是坏事，即使第三方没有收集到额外的敏感数据，
因为这会取消用户对自己身份的控制权。获取用户的引荐来源网址和 IP 地址的访问权限
而 Cookie 本身是一种不必要的披露。使用第三方资源的同时，还需要规划资源使用方式
保护隐私。其中一部分工作由您作为网站开发者完成，另一些则是由浏览器完成
它充当用户代理也就是说，代理代表用户执行操作来避免敏感信息泄露和
尽可能避免不必要的跨网站识别下面，我们将详细介绍浏览器上的缓解措施和方法
和网站开发级别。
服务器端第三方代码
我们先前对第三方的定义故意改变了 HTTP 年历的客户端方法（视情况而定）
包括第三方作者信息，因为从隐私角度来看，第三方是指任何知道相关信息的人，
关于您的用户（即非您用户）的信息。
包括提供您在该服务器上所使用服务的第三方，以及客户端。在隐私设置中
立场，理解第三方库（例如 NPM、Composer 或 NuGet 中的库）也很重要。
您的依赖项是否会在边界外传递数据？如果将数据传递到日志记录服务或远程托管数据库，
如果库还包含“phone home”作者，那么这些内容就可能违反您用户的隐私权
因此需要进行审核基于服务器的第三方通常必须由您提供用户数据，
向其公开的数据有更多的控制权。相比之下，基于客户端的第三方（脚本或 HTTP 资源）
包含在您的网站上并由用户的浏览器提取 - 可以直接从用户那里收集一些数据，而无需通过该流程
您参与中介的集合本单元的大部分内容将关注如何识别这些客户端第三方
您选择包含并向您的用户展示，完全是因为您可以使用的中介较少。但值得
考虑保护服务器端代码，以便了解来自它的出站通信，并记录或阻止任何
不符合预期。关于如何执行此操作的详细信息不在本文的讨论范围之内（并且非常取决于您的服务器设置），但
这也是您在安全和隐私方面的另一个立场。
为什么需要谨慎对待第三方？
第三方脚本和功能确实非常重要，作为 Web 开发者，我们的目标是将这些功能集成在一起，
不要回避他们！但其中存在潜在问题。第三方内容可能会导致性能问题，
也会导致安全问题，因为您会在信任边界内引入外部服务。但第三方
内容也会造成隐私问题！
当我们谈论网络上的第三方资源时，最好将安全问题（以及其他一些）
第三方可从贵公司窃取数据的行为
您添加的第三方窃取或访问您用户的数据。
“网络浏览器”就属于安全问题窃取信用卡信息（第三方资源中包含
用户输入信用卡详细信息的网页上就有可能窃取这些信用卡详细信息并将其发送给
恶意第三方。这些浏览者脚本的创作者在找出隐藏它们的地方非常有创意。
一份摘要描述了重点浏览者脚本
已隐藏在第三方内容中，例如用于网站徽标、网站图标和社交媒体网络的图片，
jQuery、Modernizr 和 Google 跟踪代码管理器等热门库、实时聊天窗口等网站微件，以及 CSS 文件。
隐私权问题稍有不同。这些第三方是您提供的解决方案的一部分；
保持用户的您需要确信用户可以信任他们。如果您使用的第三方收集
您的用户会滥用这些数据，或者使这些数据难以删除或发现，或遭受数据泄露，或违反用户的
预期，那么用户很可能会认为这是他们对您的服务的信任程度，而不是仅仅是对服务质量的信任感
第三方。而是您在线上的声誉和关系。因此，务必要问问自己：您是否信任
与您的网站一起使用的第三方？
第三方的例子有哪些？
我们讨论的是“第三方”但实际上它们分为不同的类型，它们可以访问不同数量的用户数据。
例如，向 HTML 中添加从其他服务器加载的 元素，会向该服务器提供不同的信息
与添加