计数器到底必须存储什么

运营一个访客计数，意味着在每一次访问发生的时候都要处理某些特定的技术信息。弄清楚「严格必要的数据处理」和「可选的跟踪扩展」之间那条确切的技术分界线，也就厘清了维护一个基础的网站计数器在隐私上究竟意味着什么。

要仅仅增加一个数值，接收服务器实际上需要的数据少得惊人。

核心的机制只依赖一件事：认出「有一次针对某个特定图片文件的标准 HTTP 请求发生过」。系统必须处理绑定在图片标签上的那个唯一编号，好去更新数据库里正确的那一行；但对于「加一」这个最基本的动作本身来说，请求者的实际身份或者精确来处，完全无关紧要。

只留一瞬的那个地址

要防止这些数字被人为地吹起来，服务器就需要多一点点对上下文的意识。为了不让某一条快速刷新的连接把公开的数字硬推到荒唐的高度，系统需要一份关于近期请求的临时记忆。

这一操作要求通常通过将传入的网络 IP 地址短暂保存在短期内存缓存中来实现。

服务器靠查阅这份转瞬即逝的记录，主动忽略掉在设定的时间窗口之内、来自完全相同来源的重复文件请求。而当 IP 地址被严格地、临时地存下来用于防止滥用时，它们往往会被截短，或者经过数学上的散列处理——连接数据由此变成一种抽象的表示：既满足了技术上的需要，又不再具备指认出人的能力。

把基本的数字显示扩展成一块内容更广的统计面板，就引入了更多层次的数据收集。为了能给出关于流量来源和地理分布的判断，系统必须解析浏览器提供的那串引荐字符串，并把网络地址与一份位置映射数据库比对起来。

虽然此信息对于了解一般受众人口统计数据非常有用，但它是核心计数机制的分析扩展，而不是严格必需的。

不过，被动式图片计数器的技术边界，牢牢地停在浏览器窗口的边上。一个简单的图片实现从不检查访问者本地的设备，从不读取屏幕的分辨率，也从不试图去跟踪一个人在彼此毫不相关的网站之间的先后移动。

数据的收集始终是被动的：它安全地、也仅仅地依赖浏览器在标准的文件请求过程中自愿广播出来的那些网络信息。

把保留的数据压到最少，实实在在地降低了整体的运营风险。在短暂的处理期之后就丢掉详细的请求日志，只留下汇总的总数——比如「某一天来自某个地区的三十次匿名访问」——系统就从根本上避免了积累起敏感的、长期的行为画像。

这种克制的架构取向保证了一件事：想要测量网站大致覆盖范围的这个根本愿望，本身并不会与现代的数据保护原则发生冲突。