F5 Distributed Cloud / Shape Bot Defense

F5 Distributed Cloud / Shape Bot Defense 是 F5 的反爬平台挑战（重遥测，无可见组件）。通常无可见组件。它靠大量客户端遥测判定，被挡时多为直接拒绝。

正在查询可用性…$3.06 / 1K 次按成功计费，失败退款

接口规格

项目	值
type	`f5_shape`
必填参数	`website_urlproxy`
可选参数	`user_agent`
返回	一串 Cookie（`solution.cookie`）
怎么用这个解	带回请求的 Cookie 串
价格	$3.06 / 1K 次 —— 按成功计费，没解出来退款
厂商文档	F5 官方文档

参数去页面哪里取

下面全部是可以直接照做的定位方法 —— DOM 属性名、JS 全局变量名、script 上的 query 参数。

必填 website_url + proxy，可选 user_agent。

⚠ 这条最重要的不是取参数，是先确认你遇到的到底是哪一个 F5 产品 ——
我们有两条 F5 相关能力，用错必然失败：
· 只看到 `TS` 开头 8 位十六进制的 cookie（TSPD_101 这类）→ 那是 BIG-IP ASM，
用 `f5_tspd`；
· 看到独立的采集脚本、遥测明显更重、且不只有 TS* cookie → 才是这一条。

// 先分清是哪一个
[ document.cookie.split('; ').filter(c=>/^TS[0-9a-f]{6,8}/i.test(c)),   // BIG-IP ASM 的特征
  [...document.scripts].map(s=>s.src).filter(s=>/shape|f5|bot-defense/i.test(s)) ]

`proxy` 必填

产出绑定出口 IP，且多为一次性 —— 别缓存复用。

调用示例

一个端点解全部验证码类型 —— 换一种验证码只改 type 这一个字段。

请求

curl -X POST https://api.everyinfra.com/api/v1/captcha \  -H "Authorization: Bearer omg_你的KEY" \  -H "Content-Type: application/json" \  -d '{"type":"f5_shape","website_url":"<website_url>","proxy":"<proxy>"}'

响应

{  "solution": {    "cookie": "…"  },  "billing": { "charged": true, "credits": 220 }}

怎么确认目标站用的就是它

注入一段采集脚本，收集远比一般 WAF 更细的浏览器与行为信号（这是它与 BIG-IP 那种 cookie 级防护的本质差别），服务端据此打分。

容易搞混的

⚠⚠ F5 BIG-IP / TSPD（`f5_tspd`） —— 见上，判据是有没有独立的采集脚本、以及是不是只有 TS* cookie。

去看 F5 BIG-IP / TSPD 那一条 →

常见部署场景

银行与金融机构（Shape 的传统强项）
航司与酒店
大型零售与电商
任何买了 F5 Distributed Cloud 服务的企业

已知的坑

与 `f5_tspd` 不是一回事，这是最常见的误判：那个是负载均衡器种的 TS* cookie，这个是独立的 Bot Defense 产品。同属 F5 品牌，两条能力不能互换。

产出绑定出口 IP，且多为一次性，别缓存复用。

遥测比一般 WAF 重得多 —— 这也意味着环境不一致时更容易被识破。

与 F5 BIG-IP / TSPD 不是一回事：那个是负载均衡器种的 TS* Cookie，这个是独立的 Bot Defense 产品，遥测更重

产出绑定求解时的出口 IP，且多为一次性 —— 别缓存复用

常见问题