对于针对性、小范围的钓鱼攻击，泄漏真实User Agent存在风险。各位Tor浏览器用户是怎么解决这一问题的？
tor社区的解释：
历史上，Tor 浏览器一直伪装 HTTP 头中找到的浏览器用户代理，而没有伪装 JavaScript 中 Navigator.userAgent 属性返回的用户代理。 HTTP头伪装背后的逻辑是为了防止网站（在使用“最安全”安全级别时）和恶意出口节点（或其上游路由器）被动监听未加密的HTTP流量，从而被动跟踪用户的操作系统。 我们保留了JavaScript查询，以确保网站的兼容性和可用性。 我们也保留了它，因为在启用JavaScript时，已经有很多方法可以检测用户的真实操作系统。 (e.g. via font enumeration).
在Tor浏览器14.0a4中，我们引入了布尔首选项隐私。resistFingerprinting.spoofOsInUserAgentHeader。 当此首选项设置为true（当前默认设置），Tor浏览器将遵循前述的传统行为。 然而，如果您将此首选项（可在about:config中访问）设置为false，Tor浏览器将永远不会伪装用户代理，并且在请求时会报告您的操作系统系列（即Windows、macOS、Linux或Android）。 我们正在考虑更改Tor浏览器，使其成为新的默认行为。
那么，我们为什么考虑进行这个改变呢？ 基本上，不对称地伪造用户代理会导致网站崩溃，似乎是由于机器人检测脚本造成的。 而且（根据我们的分析），它在提供额外的可链接性（即跨站点跟踪、指纹识别）保护方面对用户的好处微乎其微，而且只有在禁用JavaScript的情况下才有意义。 Tor浏览器的默认HTTPS-Only模式（以及大部分网络已经转向HTTPS）也显著减少了被动嗅探HTTP流量对用户代理的实用性。
我们非常希望听到用户和领域专家的意见，了解用户代理伪装是否提供了其他隐私保护的好处。 与此同时，用户可以选择禁用伪装功能。 欲了解更多信息并参与讨论，请参阅Gitlab工单tor-browser#42467。
https://blog.torproject.org/new-alpha-release-tor-browser-140a4/
社区显然是有仔细考虑过的。自己胡乱改造浏览器可能会引入新的指纹。建议用whonix，保持系统指纹一致，就没什么可泄漏的。
@user675d0c87a658b 每个whonix系统都是一样的，当然user agent也是一样的。whonix虚拟机分为两部分，网关虚拟机和工作台虚拟机，工作台虚拟机所有流量都经过网关虚拟机传输给tor。即使有黑客入侵了你的虚拟机，他也无法确定你是谁。想知道更多细节就去看whonix的文档吧。
@user676013e49d373
首先技术上确实Whonix是更安全的系统, 毋庸置疑, 就像普通浏览器跟Tor浏览器的安全区别.
但是Whonix就是Linux, 也是用的Tor浏览器, 如果Tor浏览器用户真的暴露自己User Agent(系统平台是Linux)就能造成锁定风险, 那么Whonix也救不了, 幸好绝大多数情况下这并不成立, 就像被发现用Tor也没啥.
@user676013e49d373 不知道你说的锁定风险是指什么。linux的市场份额也是很大的，仅仅知道你在用linux不足以跟踪你的。网站是可以检测到你在用tor的，反而自己改user agent会让你在众多tor用户中变得特别突出←个人看法。
如果怕被入侵，可以建立一个虚拟机快照，每次开机还原一下。whonix似乎也有写入保护的模式。
桌面级操作系统Linux的份额还是很少的，即使放在一个很大的网站用户群里，Linux系统的用户也是非常独特的。而且使用Linux系统+Tor IP访问也更加有特征了，很容易被锁定。
@user6762ce200c4a9 如果是在用比较小众的tor用户少的网站，还是不要一个身份透露隐私，另一个身份匿名。resistFingerprinting.spoofOsInUserAgentHeader，这个选项设置为true可以重新开启user agent伪装。但是上文指出：“在启用JavaScript时，已经有很多方法可以检测用户的真实操作系统。” 所以这个选项只能在关闭js时使用。
当你开着js和user agent伪装，网站如果有意检测，会检测到一个用着tor和linux却在伪装windows的脱队人士，特征更突出了。当然如果你有其它什么好办法，可以提交给tor社区。
“保持系统指纹一致”这里是在说系统指纹跟什么一致?发布前后?还是HTTP头和JavaScript获取的结果一致?