前端有哪些反爬和防调试手段？它们的边界在哪里？
先理解原理和示例，再练习完整口述与追问。
回答要点
反爬主要在服务端：频率限制、行为风控、验证码、登录与签名校验、设备指纹；前端可做接口参数签名、代码混淆、字体映射混淆数字、蜜罐链接。防调试常见手段是无限 debugger、检测开发者工具、禁用右键与快捷键。这些都只能提高成本，所有运行在用户浏览器中的代码和数据最终都可以被获取。
原理拆解
前端签名把时间戳、随机数和参数用某种算法计算签名，服务端校验，可阻止简单的重放与参数篡改，但算法在 JS 中，混淆后仍能被逆向，或被无头浏览器直接执行。自定义字体把数字字形重新映射，页面源码中的字符与显示不同，增加爬取成本，但影响可访问性和复制。
setInterval(() => { debugger }, 100) 会在打开开发者工具时不断暂停，但调试者可以禁用断点或替换脚本。检测开发者工具的方法（窗口尺寸差、console 对象的 getter）都不稳定，可能误伤正常用户。禁用右键与 F12 不影响通过浏览器菜单打开开发者工具。
示例与推演
一个价格接口防爬：服务端按用户和 IP 限流，对异常频率触发验证码；接口要求登录，响应中只返回当前页面需要的数据；前端请求附带有时效的签名，服务端校验时间窗口与 nonce 防重放；风控记录行为特征。前端混淆只是其中最外层，不能作为唯一防线。
易错点
过度的防调试会影响性能和合法用户，甚至被安全软件误判；不要依赖前端隐藏的接口地址或密钥保护数据。合规场景下还需遵守 robots 协议与数据保护法规。
参考回答可直接练习口述
反爬的主战场在服务端：限流、风控、验证码、登录鉴权、签名防重放；前端能做的是参数签名、代码混淆、字体映射、蜜罐链接等，提高逆向成本。防调试比如无限 debugger、检测开发者工具、禁右键，都很容易绕过，还可能误伤用户。核心原则是运行在浏览器里的代码和数据都可能被拿到，敏感数据和规则要放在服务端控制，前端手段只作为辅助。