网站怎么知道您在哪里，以及如何控制

途径 1：权限提示（精确，需要您同意）

网站拿到您精确位置的唯一途径是浏览器的 Geolocation API——也就是「允许本站访问您的位置吗？」那个提示。在它背后，操作系统会把 GPS、Wi-Fi 和基站信号融合起来（参见GPS 精度是怎么回事），再把一组坐标交给页面，通常精确到几米。有两点人们常常判断错：网站没法悄悄调用它——权限按站点保存，随时可以撤销，地址栏里也看得见；而「使用期间」就是字面意思，浏览器标签页在后台持续追踪并不是这个 API 允许的事。您点定位按钮时，本站用的正是这条途径，而坐标始终不会离开您的浏览器：查询页面的做法是在客户端显示位置，不做记录。

途径 2：您的 IP 地址（粗略，自动）

您联系的每一台服务器都能看到您的 IP 地址——它必须看到，才能把回应发回来。商业数据库把 IP 段映射到地点，网站就是这样在完全没有提示的情况下猜出您所在的城市。这种判断很粗略，而且经常出错：国家一级通常没问题，城市一级时准时不准，门牌一级则永远做不到。想知道您的 IP 暴露了什么，可以看我的 IP 地址页面；想弄清其中的机制，可以读IP 定位为什么常常出错。要改变这条途径显示的内容，唯一的办法是改变您对外的 IP——用 VPN 或 Tor——因为它存在于浏览器设置管不到的层面。您用的那个到底有没有真的遮住您，可以在 VPN 检测工具上测出来。

途径 3：您上传的东西（照片、文件、帖子）

手机默认会把 GPS 坐标写进照片的元数据（EXIF）里。您把原始文件发出去，就等于把拍摄地点一起发了出去——有时候细到是哪个房间。好消息是：主流聊天软件和社交网络在上传时会去掉 EXIF，所以常见的泄露发生在直接传文件、邮件附件、网盘链接和二手交易平台的图片上。我们的照片位置工具完全在您的浏览器里读取照片的 EXIF，让您看清一个文件会暴露什么，还能下载一份去掉 GPS 的干净副本。健身应用导出的 GPX/KML 也一样值得当心——一张从您家门口出发、又回到您家门口的跑步热力图，本身就是一个住址。

浏览器指纹：位置的低调近亲

除了位置之外，网站还会把浏览器主动暴露的特征组合起来，试着在多次访问之间认出您这个人——屏幕尺寸、字体、GPU 字符串、时区、语言列表、canvas 渲染的细微差异。单看任何一项都认不出您，组合起来往往就够了。光是时区，就能在您挂着 VPN 的时候暴露您所在的地区，这也是我们的 VPN 检测工具会做的检查之一。跑一下浏览器隐私检测，就能看到您自己的指纹面有多大，以及 WebRTC 会不会泄露您的真实 IP——这两项是最要紧的测试，全部在您的浏览器本地完成。

一份理性的设置清单

花五分钟做点清理，就能覆盖其中大部分。检查网站的位置权限（Chrome：设置 → 隐私 → 网站设置 → 位置；Safari：设置 → 网站 → 位置；Firefox：设置 → 隐私 & 安全 → 权限），把您认不出来的网站删掉。相机的 GPS 标记按您自己的习惯设置——您也可以一直开着，改成每次分享前再去掉。如果您在用 VPN，就用上面那些泄露测试验证一下，别只信应用里那面绿色盾牌。还有，把尺度校准好，不必恐慌：权限这条途径要经过您同意，IP 这条途径只到城市级别，上传这条途径完全由您掌控。网站在您不知情、不同意的前提下精确追踪您的 GPS，并不是 Web 平台的工作方式。