你以为“91网”只是个词？其实那条弹窗背后有一整套“追踪→识别→召回”的链路。我把能复现、能取证的步骤和痕迹整理出来，按证据链条讲清楚弹窗如何精准出现，让你自己动手验证并有针对性地防护。
结论先说清楚：一个关键词或一次点击，本身并不会直接生成弹窗。真正让弹窗“精准出现”的，是搜索行为与浏览器指纹、第三方脚本、广告交换（RTB）和重定向链共同作用的结果。把这些环节拼起来，就能解释为什么你刚想起一个词，网页就弹出相关内容。
证据链（按时间轴与可取证项） 1) 搜索与查询痕迹
- 证据：搜索引擎的查询日志（浏览器地址栏、搜索建议、搜索结果URL常含参数）。
- 可取证方法：在浏览器地址栏或搜索结果点击前后，查看网络请求（DevTools → Network）中的GET请求与Referer头；保存HAR文件。
2) 点击/跳转与URL参数
- 证据：跳转链中携带的UTM、gclid或自定义参数；短链/跳转域名记录。
- 可取证方法：记录点击后出现的所有302/301重定向（Network面板可看到每一步），保存响应头和Location字段。
3) 第三方脚本加载与标签管理器（Tag Manager）
- 证据：页面加载时拉取的外域脚本（analytics、ad, tracker, tagmanager）以及它们发出的后续请求。
- 可取证方法：Network里筛选.js、xhr请求；在Sources或Security里查看加载脚本来源；截图或导出脚本列表。
4) 浏览器/设备指纹与cookie/localStorage
- 证据：脚本向第三方发送的指纹参数（User-Agent、屏幕分辨率、canvas hash、音频指纹等），以及被设置的第三方cookie或localStorage键。
- 可取证方法：在Console里执行document.cookie查看；使用开发者工具查看localStorage和IndexedDB；用mitmproxy或Charles抓包检查请求体。
5) 数据汇聚与用户识别（ID同步）
- 证据：ID同步请求（像ad network域名/partner域名之间的pixel请求，带有id=xxx），可以追踪到正在建立的跨域用户ID。
- 可取证方法：Network里查找pixel/xhr向广告域发出的请求，记录query string中的id或sync参数。
6) 实时竞价（RTB）与广告决策
- 证据：请求到广告交换平台（SSP/DSP）的bid请求（有时可在请求体或响应中看到bid信息、creative id、targeting参数）。
- 可取证方法：抓取POST/GET到adx、rtb域名的请求，保存请求体（JSON），查看其中的keywords、segments、geo等字段。
7) 创意投放与弹窗脚本触发
- 证据：最终返回的广告资源或脚本，包含弹窗HTML/CSS/JS，或控制弹窗出现的触发条件（如matching rules）。
- 可取证方法：在Network中找到被加载的creative或脚本，保存响应；在Elements中观察动态插入的DOM节点，记录触发时刻的调用栈（Performance/Debugger抓取）。
8) 追踪持久化与再次召回
- 证据：后续访问中同样的ID/segment被利用（再次出现相同creative或同一广告主的其他素材）。
- 可取证方法：清除缓存或cookies后再访问对比；或在另一个浏览器/设备上访问看是否复现；使用同一网络环境对比结果。
如何自己动手验证（简明操作步骤）
- 打开Chrome或Firefox，打开开发者工具 → Network → Preserve log。
- 在清空浏览器数据或使用无痕模式下，搜索并点击目标关键词/链接，记录整个重定向链与所有第三方请求，导出HAR文件。
- 用文本搜索HAR文件，查找关键域名（ad、tracker、tagmanager等）、id=、utm_、referer字段。
- 使用mitmproxy/Charles抓包可以捕获HTTPS请求（需要安装CA），便于查看请求体和响应体。
- 若在手机上复现，比较移动数据与Wi‑Fi下的差异，排查是否存在运营商注入或APP级别的中间人。
为什么能这么“精准”
- 搜索行为与点击会产生明确的上下文（关键词、URL参数、referer），这是定位兴趣的第一手信号。
- 第三方脚本和标签管理器把页面上下文、指纹、历史ID汇给广告生态；ID同步把这些信息在多个平台间串通起来。
- RTB系统在毫秒级做决策：当bid请求里出现匹配信号（关键词、segment、geo、设备特征），DSP会返回相应创意。
- 弹窗往往不是传统广告位投放的结果，而是站内脚本或被加载的creative主动执行DOM插入或调用window.open，这就能直接弹出层给用户。
隐私与风险点（简要）
- 跨站追踪：第三方cookie、localStorage、ID同步让不同网站共享同一用户画像。
- 指纹识别：即便清cookie，指纹仍能重建“识别”。
- 中间人注入：在部分网络环境，运营商或中间件能劫持并插入广告脚本。
- 恶意创意：弹窗可能携带欺诈、诱导下载或恶意链接，具备安全风险。
可立刻采取的防护措施（用户友好、可执行）
- 安装并启用uBlock Origin、Privacy Badger等扩展，屏蔽常见追踪域与广告域。
- 关闭第三方cookie，启用浏览器的增强追踪防护或使用隐私浏览器（Brave、Firefox Focus）。
- 对重要操作使用隔离容器或独立浏览器配置，减少跨站串联。
- 在手机上使用系统层面的广告拦截或DNS过滤（比如AdGuard、Pi-hole）。
- 对可疑弹窗不要点击，记录域名与请求，必要时提交给浏览器厂商或安全社区。
