Instagram 与 TikTok 抓取代理：2026 年真正可行的方案

Instagram 和 TikTok 是抓取领域里两个最难啃的主流目标——比 Google 难，比 Amazon 难。两家都跑着激进的 IP 评分，都在多个层面给你的客户端打指纹，而且都以软封锁著称：不给你干脆的 403，而是登录墙、空 JSON、"challenge_required"，或者悄悄截断的结果。你的爬虫「能跑」，但抓到的数据是垃圾。

本文讲清楚 2026 年每个平台到底怎么封你、能活下来的代理方案，以及让账号和会话存活的请求模式。（如果你是要做多账号管理而非抓取，见我们的 AdsPower/Multilogin 和 GoLogin/Dolphin Anty 指南。）

Instagram 怎么封你

• IP 信誉优先。数据中心 ASN 在网页端几乎立刻撞上登录墙，私有 API 则返回 challenge_required。Instagram 对共享/被滥用过的住宅 IP 的容忍度也很低——这里的池子质量比几乎任何地方都更要紧。
• 按 IP 的请求额度。匿名网页请求每个 IP 每小时大约有 100–200 次页面加载，超过就撞登录墙；GraphQL 端点更紧。这个额度是按 IP 且按会话 cookie 分别计的。
• 登录态抓取把风险绑在账号上。一个账号一小时内被看到来自 5 个 IP，会被风控（checkpoint）的是账号，不是 IP。如果你登录着抓，一个账号 = 一个 sticky IP，没得商量。
• 设备/TLS 指纹。走移动 API 这条路（伪装成 App）会拿你的 TLS 指纹和已知的 App 协议栈比对——原始 httpx 在这里直接死;见 curl_cffi 伪装。

TikTok 怎么封你

• 签名请求。TikTok 的网页 API 需要由混淆 JavaScript 生成的 X-Bogus/签名参数。纯 HTTP 抓取意味着要逆向那些每隔几周就轮换一次的签名——大多数团队改成直接跑真实浏览器（Playwright）并拦截 JSON 响应。
• 内容按地理分区。TikTok 的内容、趋势、甚至可用性都因出口 IP 所在国家而异。用欧盟 IP 抓「美国 TikTok」给你的是不同的数据，而不只是被封的数据——这是个悄无声息的正确性 Bug。要让代理国家和目标市场匹配。
• 数据中心 IP = 秒弹验证码。来自云 ASN 的请求一加载就弹滑块/旋转验证码。住宅出口基本能跳过。
• 网页端的行为评分。滚动节奏和观看时长信号会喂给风控模型；一个以机器速度翻一个主页的浏览器，会被污染会话（返回空的 itemList，看起来像「没有更多内容」）。

行之有效的方案

1. 住宅、地理匹配、每身份 sticky

# 一个身份 = 一个 sticky 会话，国家锁定
socks5h://USERNAME:[email protected]:913

对匿名公开页面、低流量场景，每请求轮换没问题。但一旦涉及会话 cookie 或登录，就切到 sticky——cookie 和 IP 必须作为一个身份一起移动（为什么）。

2. 通过代理走 GraphQL 抓公开 Instagram

from curl_cffi import requests

PROXY = {"https": "socks5h://USERNAME:[email protected]:913"}

# 公开主页 JSON（无需登录）- 伪装 Chrome 的 TLS
r = requests.get(
    "https://www.instagram.com/api/v1/users/web_profile_info/?username=nasa",
    impersonate="chrome",
    headers={"X-IG-App-ID": "936619743392459"},
    proxies=PROXY,
)
data = r.json()["data"]["user"]
print(data["edge_followed_by"]["count"])

盯着响应看，别只看状态码：返回 200 但带 {"data": null}，或者重定向到 /accounts/login/，说明这个 IP 的额度用完了——换身份、退避、再继续。

3. 用 Playwright + 响应拦截抓 TikTok

from playwright.sync_api import sync_playwright

with sync_playwright() as p:
    browser = p.chromium.launch(proxy={
        "server": "us.jibaoproxy.com:913",
        "username": "USERNAME", "password": "PASSWORD",
    })
    page = browser.new_page()
    items = []
    # 让 TikTok 自己的 JS 给请求签名；我们只读结果
    page.on("response", lambda res:
        items.extend(res.json().get("itemList", []))
        if "/api/post/item_list" in res.url else None)
    page.goto("https://www.tiktok.com/@nasa")
    for _ in range(5):
        page.mouse.wheel(0, 2500)
        page.wait_for_timeout(1800)   # 接近人类的滚动节奏
    print(len(items), "videos captured")

这完全绕开了签名逆向：页面自己生成有效的 X-Bogus，你只管收割 JSON。代理必须在浏览器启动时就设好——认证的坑在 Playwright 代理认证 里讲了。

4. 像人一样控速，盯着软封锁信号

• 每个 Instagram 身份控制在约 1 请求 / 2–4 秒；加抖动。TikTok 滚动节奏 1.5–3 秒。
• 对内容信号告警，别对 HTTP 码告警：登录墙重定向、challenge_required、带 hasMore: true 却为空的 itemList。
• 一个身份用过约 150 个请求（IG）/ 约 30 个主页（TikTok）后退役；冷却 24 小时。
• 每一批都跑一个对照探针（一个已知的主页）——如果对照返回的结果不对，整批都可疑。

速查

	Instagram	TikTok
最佳访问路径	网页 GraphQL/API 端点，curl_cffi	Playwright + 响应拦截
代理类型	住宅，每身份 sticky	住宅，与市场地理匹配
数据中心 IP	登录墙 / challenge	秒弹验证码
软封锁信号	登录重定向、challenge_required、null 数据	空 itemList、验证码页
地理敏感度	中等	高——内容因国家而异

小结

• 两个平台都做软封锁：校验响应内容，永远别信 200 OK。
• 住宅是必须的；只要存在 cookie 或登录就用 sticky 会话；抓 TikTok 时让代理地理和你要测量的市场匹配。
• Instagram：网页 API + curl_cffi 伪装，每身份约 150 个请求，然后轮换。
• TikTok：让真实浏览器给请求签名，拦截 JSON，以人类节奏滚动。
• 登录态抓取把风险绑死在账号上——一个账号，一个 IP，没有例外。