通过浏览器测试页和 WebRTC 连接诊断，识别公网地址是否绕过代理或隐私工具暴露，并了解检测结果的边界与处理方法。
网页视频通话、语音聊天和点对点传输可能使用 WebRTC 建立连接。检查时，关键不是看到任何地址就判定泄露，而是确认网页能否通过 WebRTC 获得你当前网络的公网地址。下面这套浏览器WebRTC地址暴露风险检查方法，适用于日常排查，也能帮助区分正常的局域网信息与真正的公网暴露。
先理解测试结果代表什么
WebRTC 会收集连接所需的 ICE 候选信息，并可能向 STUN 服务查询网络映射情况。测试页显示的候选地址，可能包括局域网地址、经过映射的公网地址，以及中继服务器地址。浏览器或网络环境不同，展示结果也会不同。
现代浏览器可能用 mDNS 名称代替局域网地址，这不等于公网地址泄露。反过来，若网页在启用代理或隐私隧道时仍能看到来自本地网络出口的公网地址，就值得进一步排查。测试只能反映当时的浏览器、网络和页面行为，不能证明所有网站都能或都不能获取该地址。
按步骤进行检查
- 记录当前网络出口。在平时使用的浏览器中打开可信的公网地址查询页面，记下显示的地址。不要在不熟悉的网站输入账号、密码或其他个人信息。
- 运行 WebRTC 检测。打开 BrowserLeaks 的 WebRTC 检测页面（browserleaks.com/webrtc），等待页面完成候选收集。检查结果中是否有公网候选地址，以及其是否与第一步记录的网络出口相符。页面名称和布局可能调整，重点看候选类型及地址，不必只看“通过”或“失败”提示。
- 比较开启隐私工具前后。如果日常会使用网络隧道或代理，先记录未开启时的结果，再开启后重新加载检测页。若页面仍显示原网络的公网出口地址，而其他查询页显示的是隧道出口，说明 WebRTC 流量可能没有按预期经过该工具。
- 换一个浏览器复核。可用 Chrome 或 Edge 重复测试，并确保测试页确实触发了连接收集。若结果不一致，检查扩展、浏览器版本和网络设置；不要把一次空白结果当成绝对安全结论。
- 需要时查看连接日志。在 Chromium 浏览器地址栏打开 chrome://webrtc-internals，再回到检测页重新触发一次测试。日志可辅助查看连接和候选收集过程；操作后关闭诊断页，避免保留不必要的连接记录。
怎样判断是否属于风险
| 检测现象 | 通常意味着什么 | 建议 |
|---|---|---|
| 只出现 mDNS 名称或局域网地址 | 不一定能让远端网页获知你的公网出口 | 继续检查是否有公网候选，并比较不同网络工具状态 |
| 启用隧道后仍出现原网络的公网地址 | 可能存在 WebRTC 流量绕行或配置不一致 | 核对工具是否接管浏览器流量，检查其 WebRTC 防护设置 |
| 只出现中继地址 | 连接可能使用 TURN 中继，页面看到的地址未必是你的网络出口 | 结合普通公网查询结果和候选类型判断 |
| 没有候选或检测页提示失败 | 可能是页面未触发连接、网络限制或浏览器策略所致 | 换页或换网络复测，不直接推断为没有风险 |
发现暴露后怎么处理
先更新浏览器和网络工具，再查看工具是否明确支持 WebRTC 防护；单纯设置网页代理，不一定会代理 WebRTC 的所有连接。使用由浏览器管理策略配置 WebRTC 的设备，可由管理员检查相关策略。普通用户不宜随意安装来历不明的扩展，也不要只依赖扩展的宣传说明。
若问题只在特定浏览器出现，可暂时改用配置正确的浏览器；若依赖视频会议，应先确认限制 WebRTC 不会影响通话。阻断相关连接可能降低地址暴露机会，但也可能导致语音、视频或点对点功能不可用。调整后重新执行浏览器WebRTC地址暴露风险检查方法，并在常用网络环境下复测。
常见问题
看到局域网地址就代表真实地址暴露了吗？
不一定。局域网地址通常只在本地网络内使用；还要看网页是否获得了可从公网识别的候选地址。
测试页显示的地址一定是网站实际看到的吗？
它反映该页面在当次连接中收集到的信息，不能代表所有网站、浏览器和网络环境。
为什么同一台设备两次结果不同？
网络切换、浏览器设置、扩展、隧道状态以及页面是否成功创建连接，都可能改变候选结果。
判断重点是候选地址的类型、它与当前网络出口的对应关系，以及开启隐私工具前后的差异。按步骤复测并记录环境，才能较可靠地评估浏览器WebRTC地址暴露风险。
