还有谁在旁读？表单页面上的第三方脚本

有人填写联系表单时，会以为消息发送给您。然而，许多网站的表单页面还运行分析提供商、广告网络、聊天服务商，以及标签管理器多年积累的各种脚本。每个脚本拥有与您自己的代码相同的权限：读取页面、观察输入字段、向自己的服务器发送数据。这不意味着它们都这么做。但在访客填写姓名、邮件地址，有时还填写健康、财务或法律困境细节的页面上，您应知道谁在旁读。

常见对象

• 会话回放工具记录点击、滚动，通常还记录按键，以便日后重播访问。除非字段被遮蔽，否则可能包含表单输入。
• 广告和分析像素向第三方报告页面浏览和转化——既在表单页面，也经常在感谢页面。
• 聊天小组件从其他域名加载完整应用，通常在每个页面上，包括表单页面。
• 标签管理器让营销团队无需部署即可添加脚本。很方便，但也意味着代码可能未经任何人审查就进入表单页面。
• 较小的辅助功能——A/B 测试、热图、社交嵌入、字体、地图——各增加一个主机，至少接收访客 IP 地址，通常还有您网站的地址；其中脚本还可读取完整页面 URL。

会话回放：输入框旁的录制器

多数回放工具可设置遮蔽输入字段或排除整个区域，有些默认遮蔽特定字段。薄弱环节在例外：默认规则未覆盖的自由文本消息字段、由遮蔽规则无法识别的组件构建的表单，或调试时关闭后从未重新开启的设置。第三方保存的录制内容可能因此包含访客写给您的原话——这不是他们预期的，且您的隐私政策可能完全未提及，而 GDPR 第 13 条要求列明个人数据接收方或接收方类别。

像素与感谢页面

转化跟踪需要表单已发送的信号，感谢页面是明显的触发位置。多数像素每次事件均发送完整页面地址。如果表单通过 GET 提交，或发送后重定向将 ?name=…&email=… 等值附加到 URL，这些值会直接传给广告或分析提供商。一些像素还可自动从表单收集电子邮件地址或电话号码以改进匹配。如果像素在访客回应 Cookie 横幅前，或拒绝后触发，问题就不再只是技术问题。

标签管理器、同意与供应链

标签管理器常是失去全局掌握的地方。两年前展会活动的标签、试用的热图工具、无人再用的网络像素——可能仍在每个页面加载，包括表单。触发条件常设为“所有页面”，同意规则逐标签配置，因此只要一个标签缺少条件，就足以在访客同意前加载脚本。

还有供应链问题。嵌入其他主机的脚本时，您信任的是现在和未来控制该主机的人。供应商可改变脚本行为、被收购，或其分发基础设施被攻陷。浏览器无法区分合法和被篡改脚本，因此注入表单页面的代码可读取每个字段并发送至任何地方——与结账页面数据窃取采用相同模式。

您可以做什么

1. 1盘点清单。使用浏览器开发者工具打开每个表单及其感谢页面，检查 Network 选项卡，列出所有外部主机。未同意时做一次，接受横幅后再做一次。
2. 2移除无人需要的内容。没有明确负责人和目的的标签应考虑删除。限制标签管理器触发条件，使仅确需在表单页面运行的标签运行。
3. 3在回放工具中遮蔽输入。遮蔽全部输入字段，不仅是密码，尽可能排除整个表单区域。随后查看录制，确认实际存储了什么。
4. 4发送不含个人数据的转化。通过 POST 提交，不将表单值放入重定向 URL，并触发“contact_form_sent”等中性事件。关闭像素自动收集表单字段的功能。
5. 5仅在同意后加载。需要同意的脚本不得在访客同意前加载；拒绝后必须保持关闭。测试两条路径。
6. 6可行时固定和限制。Subresource Integrity（脚本标签上的哈希）使浏览器拒绝被改动的静态文件；不适用于标签管理器等按设计会变化的脚本。Content Security Policy 限制哪些主机可运行脚本——先从仅报告模式开始，了解可能破坏什么。
7. 7留意变更。表单页面出现新脚本主机应是有意决定，而非意外。确保出现时您会收到通知。

formexposed 检查哪些跟踪像素在表单页面触发、会话回放工具是否可能记录表单输入，以及拒绝 Cookie 横幅是否真正停止跟踪——被动进行，不提交任何内容。免费检查显示整体等级；这些发现位于完整报告。有已验证域名的监控后，表单页面出现新脚本主机时，formexposed 还会提醒您。