网站怎么知道你在哪里，以及如何控制

途径 1：权限提示（精确，需要你同意）

网站拿到你精确位置的唯一途径是浏览器的 Geolocation API——也就是「允许本站访问你的位置吗？」那个提示。在它背后，操作系统会把 GPS、Wi-Fi 和基站信号融合起来（参见GPS 精度是怎么回事），再把一组坐标交给页面，通常精确到几米。有两点人们常常判断错：网站没法悄悄调用它——权限按站点保存，随时可以撤销，地址栏里也看得见；而「使用期间」就是字面意思，浏览器标签页在后台持续追踪并不是这个 API 允许的事。你点定位按钮时，本站用的正是这条途径，而坐标始终不会离开你的浏览器：查询页面的做法是在客户端显示位置，不做记录。

途径 2：你的 IP 地址（粗略，自动）

你联系的每一台服务器都能看到你的 IP 地址——它必须看到，才能把回应发回来。商业数据库把 IP 段映射到地点，网站就是这样在完全没有提示的情况下猜出你所在的城市。这种判断很粗略，而且经常出错：国家一级通常没问题，城市一级时准时不准，门牌一级则永远做不到。想知道你的 IP 暴露了什么，可以看我的 IP 地址页面；想弄清其中的机制，可以读IP 定位为什么常常出错。要改变这条途径显示的内容，唯一的办法是改变你对外的 IP——用 VPN 或 Tor——因为它存在于浏览器设置管不到的层面。你用的那个到底有没有真的遮住你，可以在 VPN 检测工具上测出来。

途径 3：你上传的东西（照片、文件、帖子）

手机默认会把 GPS 坐标写进照片的元数据（EXIF）里。你把原始文件发出去，就等于把拍摄地点一起发了出去——有时候细到是哪个房间。好消息是：主流聊天软件和社交网络在上传时会去掉 EXIF，所以常见的泄露发生在直接传文件、邮件附件、网盘链接和二手交易平台的图片上。我们的照片位置工具完全在你的浏览器里读取照片的 EXIF，让你看清一个文件会暴露什么，还能下载一份去掉 GPS 的干净副本。健身应用导出的 GPX/KML 也一样值得当心——一张从你家门口出发、又回到你家门口的跑步热力图，本身就是一个住址。

浏览器指纹：位置的低调近亲

除了位置之外，网站还会把浏览器主动暴露的特征组合起来，试着在多次访问之间认出你这个人——屏幕尺寸、字体、GPU 字符串、时区、语言列表、canvas 渲染的细微差异。单看任何一项都认不出你，组合起来往往就够了。光是时区，就能在你挂着 VPN 的时候暴露你所在的地区，这也是我们的 VPN 检测工具会做的检查之一。跑一下浏览器隐私检测，就能看到你自己的指纹面有多大，以及 WebRTC 会不会泄露你的真实 IP——这两项是最要紧的测试，全部在你的浏览器本地完成。

一份理性的设置清单

花五分钟做点清理，就能覆盖其中大部分。检查网站的位置权限（Chrome：设置 → 隐私 → 网站设置 → 位置；Safari：设置 → 网站 → 位置；Firefox：设置 → 隐私 & 安全 → 权限），把你认不出来的网站删掉。相机的 GPS 标记按你自己的习惯设置——你也可以一直开着，改成每次分享前再去掉。如果你在用 VPN，就用上面那些泄露测试验证一下，别只信应用里那面绿色盾牌。还有，把尺度校准好，不必恐慌：权限这条途径要经过你同意，IP 这条途径只到城市级别，上传这条途径完全由你掌控。网站在你不知情、不同意的前提下精确追踪你的 GPS，并不是 Web 平台的工作方式。