服務端/網關識別客戶端 App 類型 (微信/抖音/遊戲/視頻等) 的主流技術體系：
1. 協議/流量指紋 (DPI / 統計特徵)
- TLS Client Hello 指紋 (JA3) ：加密套件列表、擴展順序、曲線群組 — 不解密即可高精度識別客戶端庫/版本 (Chrome/Go/Java/微信/抖音各有特徵)。
- HTTP/2 SETTINGS 幀參數：初始窗口、首部表大小、優先級樹 — 不同框架 (OkHttp/NSURLSession/AFNetworking) 默認值不同。
- 域名/SNI 模式：`*.api.wechat.com`、`*.snssdk.com` (抖音) — 白名單匹配，易偽裝。
- 流量統計特徵：包長分佈、間隔分佈、上下行比、連接存活時間 — 機器學習分類 (Random Forest / XGBoost / 深度學習)。
2. 協議深度解析 (L7)
- 解密 HTTPS (中間人 CA/企業憑證) → 解析 HTTP Header (`User-Agent`, `X-Requested-With`)、Body 結構 (Protobuf/JSON schema)、API 調用序列。
- 私有協議逆向：抓包 → 找關鍵字/魔數 → 還原編解碼 → 寫解析器 (Wireshark Lua / Zeek 腳本)。
3. 客戶端簽名/完整性驗證
- Android: APK 簽名證書指紋 (SHA-256)、`Play Integrity API` / `SafetyNet` 驗證設備/應用未篡改。
- iOS: Bundle ID + Team ID + 蘋果簽名驗證 (App Attest)。
- 桌面: 代碼簽名證書 (Authenticode)、二進制特徵 (PE 區段熵/導入表)。
4. 行為建模與關聯分析
- 同一設備/用戶多 App 共現模式、時間序列關聯、流量關聯圖譜。
- 異常檢測：模擬器/Root/越獄/掛機腳本特徵 (設備指紋重複、傳感器數據異常、操作間隔極其規律)。
工程落地架構
流量鏡像 → DPI 引擎 (nDPI/Zeek/自研) → 特徵提取 → 規則引擎 + ML 模型 → 標籤庫 (App名/版本/類別) → 下發策略 (QoS/計費/風控/封禁)
核心難點：**加密流量普及 (TLS 1.3/ESNI/ECH) 導致 L7 可見度下降**，需持續更新 JA3 指紋庫、部署 TLS 可見性方案 (eBPF/kTLS/中間人)。
