归因第 1 级

partial interface Navigator {
  [SecureContext, SameObject] readonly attribute Attribution attribution;
};

const preferredServices = [
  "https://aggregator.example/tee",
  "https://aggregator.example/dap",
  "https://example.com/aggregator",
];
const supportedServices = navigator.attribution?.aggregationServices;
const serviceUrl = preferredServices.find(url => supportedServices?.has(url));

enum AttributionAggregationProtocol { "dap-18-histogram" };

dictionary AttributionAggregationService {
  required AttributionAggregationProtocol protocol;
};

[SecureContext, Exposed=Window]
interface AttributionAggregationServices {
  readonly maplike<USVString, AttributionAggregationService>;
};

[SecureContext, Exposed=Window]
interface Attribution {
  readonly attribute AttributionAggregationServices aggregationServices;
};

navigator.attribution.saveImpression({
  histogramIndex: 3,
  matchValue: 2,
  conversionSites: ["advertiser.example"],
  lifetimeDays: 7,
});

dictionary AttributionImpressionOptions {
  required unsigned long histogramIndex;
  unsigned long matchValue = 0;
  sequence<USVString> conversionSites = [];
  sequence<USVString> conversionCallers = [];
  unsigned long lifetimeDays = 30;
  long priority = 0;
};

dictionary AttributionImpressionResult {
};

[SecureContext, Exposed=Window]
partial interface Attribution {
  Promise<AttributionImpressionResult> saveImpression(AttributionImpressionOptions options);
};

const measurement = await navigator.attribution.measureConversion({
  ...serviceDetails,
  ...aggregatedMeasurementDetails,
  ...selectionDetails,
  ...attributionDetails,
});
sendReportToServer(measurement.report);

dictionary AttributionConversionOptions {
  required USVString aggregationService;
  double epsilon = 1.0;

  required unsigned long histogramSize;

  unsigned long lookbackDays;
  sequence<unsigned long> matchValues = [];
  sequence<USVString> impressionSites = [];
  sequence<USVString> impressionCallers = [];

  sequence<double> credit;
  unsigned long value = 1;
  unsigned long maxValue = 1;
};

dictionary AttributionConversionResult {
  required Uint8Array report;
};

[SecureContext, Exposed=Window]
partial interface Attribution {
  Promise<AttributionConversionResult> measureConversion(AttributionConversionOptions options);
};

要为站点清除 展示， 给定一个源 origin， 运行以下步骤：

1. 如果 origin 不是元组源，则返回。

2. 令 site 为通过调用获得可注册域所返回的值， 并传入 origin 的主机部分。

3. 对于展示 存储的每个展示 impression，执行以下操作：

   1. 如果 impression 的中介方站点为 undefined，且 其展示站点等于 site， 则从展示存储中移除 impression 并继续。

   2. 如果 impression 有一个等于 site 的中介方站点， 则从展示存储中移除 impression 并继续。

   3. 如果 impression 的转化站点包含 site：

      1. 从 impression 的转化站点中移除 site。

      2. 如果 impression 的转化站点为空， 则从展示存储中移除 impression 并 继续。

   4. 如果 impression 的转化调用方包含 site：

      1. 从 impression 的转化调用方中移除 site。

      2. 如果 impression 的转化调用方为空， 则从展示存储中移除 impression 并 继续。

此过程不会移除那些 使用空集合的转化站点保存的展示。

要解析站点， 返回站点或失败， 给定一个字符串 input， 运行以下步骤：

1. 令 host 为调用 主机解析器 并传入 input 所返回的值。

2. 如果 host 为失败，则返回失败。

3. 令 site 为获取可注册域 并传入 host 所返回的值。

4. 如果 site 为 null，则返回失败。

5. 如果 site 为 "localhost"， 以 ".localhost" 结尾， 以 U+005B ([) 开头（它是 IPv6 地址）， 或以数字结尾（它是 IPv4 地址）， 则返回失败。

6. 返回一个 方案与主机元组 ("https"， site)。

此算法能够成功地从以下字符串中生成站点： 其中包含的域标签多于可注册域中的域标签。 例如，"extra.example.com" 会被解析为 "example.com"。

此算法不接受以下主机： localhost 域[RFC6761]或 IP 地址。 因此，任何依赖提取站点名称的算法 在提及 localhost 域或 IP 地址时都会失败， 当前站点（顶级站点或框架中的站点）为 localhost 域时也会失败。 这会使使用本地服务器进行测试和开发变得困难。 实现可以提供一种禁用 localhost 检查的配置， 以辅助测试和开发。

给定一个隐私预算 键 key、 集合，其中包含展示 impressions、 经验证的转化选项 options， 以及一个可选整数 singleEpochL1Norm，要扣减 隐私和安全预算：

1. 令 epsilon 为 options 的 epsilon。

2. 令 value 为 options 的 值。

3. 令 maxValue 为 options 的 最大值。

4. 令 valueSensitivity 为 2 * value。

5. 令 noiseScale 为 2 * maxValue / epsilon。

6. 令 valueDeductionFp 为 valueSensitivity / noiseScale。

7. 令 valueDeduction 为 valueDeductionFp * 1000000，并向正 无穷大方向舍入。

8. 令 deduction 为 valueDeduction。

9. 若给出了 singleEpochL1Norm：

   1. 令 l1NormDeductionFp 为 singleEpochL1Norm / noiseScale。

   2. 令 l1NormDeduction 为 l1NormDeductionFp * 1000000，并向 正无穷大方向舍入。

   3. 将 deduction 设置为 l1NormDeduction。

   单周期归因 不会在各周期之间引发任何级联效应。 涉及多个周期的归因会消耗双倍预算， 因为一次更改可能会影响跨周期归因。 将扣减量加倍基于以下假设：向聚合直方图添加了 与 maxValue / epsilon 成比例的 拉普拉斯噪声。

10. 若归因预算锁为 true， 则等待其值变为 false， 然后将其值设置为 true。

11. 若以 key、deduction、valueDeduction 和 impressions 调用检查可用隐私预算 所得到的结果为 false，则执行以下步骤：

    1. 将归因预算锁设置为 false。

    2. 返回 false。

12. 所有预算检查均已通过，因此执行扣减：

    1. 令 currentValue 为在隐私预算存储中 获取 key 的值所得的结果， 并以每站点隐私预算作为默认值。

    2. 将隐私预算存储中 key 的值 设置为 currentValue − deduction。

    3. 令 epoch 为 key 的周期索引分量。

    4. 令 currentGlobalValue 为在全局隐私预算存储中 获取 epoch 的值所得的结果， 并以每周期全局隐私预算作为默认值。

    5. 将全局隐私预算存储中 epoch 的值 设置为 currentGlobalValue − valueDeduction。

       此扣减保证每个周期最多发生一次， 因为扣减隐私和安全 预算在每个周期最多调用 一次。

    6. 令 deductedImpressionQuotas 为一个新的集合。

    7. 对于 impressions 中的每个 impression：

       1. 令 impressionSite 为 impression 的展示站点。

          以下步骤确保当一个站点存在多个展示时， 不会从同一展示站点配额中 多次扣减预算。

       2. 若 deductedImpressionQuotas 不包含 impressionSite：

          1. 将 impressionSite 追加到 deductedImpressionQuotas。

          2. 令 impressionQuotaKey 为一个隐私 预算键， 其项为 epoch 和 impressionSite。

          3. 令 currentImpressionQuotaValue 为在每周期展示站点配额中 获取 impressionQuotaKey 的值所得的结果， 并以每周期展示站点配额 作为默认值。

          4. 将每周期展示站点配额[impressionQuotaKey] 的值设置为 currentImpressionQuotaValue − valueDeduction。

13. 将归因预算锁设置为 false。

14. 返回 true。

要在给定隐私预算 键 key、整数 deduction、 整数 valueDeduction 以及集合形式的展示 impressions 的情况下，检查 可用隐私预算：

1. 令 currentValue 为从隐私预算存储中获取 key 的值， 默认值为每网站隐私预算。

2. 如果 deduction 大于 currentValue，则返回 false。

3. 令 epoch 为 key 的周期索引分量。

4. 令 currentGlobalValue 为从全局隐私预算存储中获取 epoch 的值， 默认值为每周期全局隐私预算。

5. 如果 valueDeduction 大于 currentGlobalValue，则返回 false。

6. 对 impressions 中的每个 impression执行以下步骤：

   1. 令 impressionSite 为 impression 的展示网站。

   2. 令 impressionQuotaKey 为一个隐私预算键， 其项目为 epoch 和 impressionSite。

   3. 令 currentImpressionQuotaValue 为从展示网站配额存储中获取 impressionQuotaKey 的值，默认值为 每周期展示网站配额。

   4. 如果 valueDeduction 大于 currentImpressionQuotaValue， 则返回 false。

7. 返回 true。

当用户交互导致在 Document document 中触发触发激活的输入事件时， 用户代理必须在分派该事件之前执行以下步骤——除了激活通知步骤之外。 在这种情况下，将可导航对象 navigable 设置为 null。

或者，当导航开始， 且用户导航参与度为 "browser UI" 时， 执行以下步骤， 将 navigable 设置为受影响的可导航对象 并将 document 设置为 null。

步骤如下：

1. 如果 navigable 不为 null，则令 n 为 navigable。

2. 否则，令 n 为获取 document 的节点可导航对象的结果。

3. 令 top 为获取 n 的顶级 可遍历对象的结果。

4. 将 top 的归因激活时间戳 设置为当前高分辨率时间。

当一个顶级 可遍历对象 top 被导航时， 作为导航算法的一部分， 在文档状态 documentState 已确定， 并且响应的源 responseOrigin 已知之后， 执行以下步骤：

1. 如果 documentState 的发起者源 与 responseOrigin 为同站，则返回。

2. 将 top 的归因启用标志设置为 false。

要检查 Attribution API 激活， 给定一个 Document document， 并在失败时抛出 "NotAllowedError" DOMException：

1. 令 n 为获取 document 的节点可导航对象的结果。

2. 令 top 为获取 n 的顶级 可遍历对象的结果。

3. 如果 top 的归因启用标志为 true，则返回。

4. 令 lastActivation 为 top 的归因激活时间戳。

5. 如果 lastActivation 加上归因激活持续时间 小于当前高分辨率时间， 则抛出一个 "NotAllowedError" DOMException。

6. 将归因激活时间戳设置为 unix epoch。

7. 将 top 的归因启用标志设置为 true。

给定一个时刻 t，要获取当前 时期， 返回一个时期索引：

1. 令 period 为一个时期的时长。

2. 如果尚未设置时期 开始时间， 则按如下方式将其设置为从上一个时期 内随机选择的一个整点：

   1. 令 rand 为 t 减去一个时长， 该时长从 0（含）到 period（不含） 之间随机选择。

   2. 令 ms 为从Unix 纪元到 rand 的时长所包含的毫秒数。

   3. 令 hour 为 ms 除以 3600000 （一小时的毫秒数）， 向零方向舍入， 然后乘以 3600000。

   4. 将时期开始时间设置为Unix 纪元 加上作为时长的 hour。

3. 令 start 为时期开始时间。

4. 令 elapsed 为 (t − start) / period。

5. 将 elapsed 向负无穷方向舍入为整数并返回。

给定时刻 now，要获取归因的起始时期， 返回一个时期索引：

1. 令 earliestEpochIndex 为使用 now − 最大回溯期天调用获取当前时期 所得的结果。

   这可确保能够查询所有可能的展示。

2. 令 startEpoch 为 earliestEpochIndex。

3. 如果已设置上次清除浏览历史记录的时间， 则执行以下步骤：

   1. 令 clearEpoch 为使用上次清除浏览历史记录的时间的值调用获取当前 时期 所得的结果。

      此处使用获取当前时期 可能会返回负值。 这是因为时期开始时间 很可能被设置为晚于上次清除历史记录的时间。

   2. 将 clearEpoch 设置为 clearEpoch + 1。

      加上一是必要的，这样用于归因的时期范围 就不会与清除浏览历史记录之前的时期 重叠。

   3. 如果 clearEpoch 大于 startEpoch， 则返回 clearEpoch。

4. 返回 startEpoch。

给定一个由站点组成的集合 sites、 一个布尔值 forgetVisits 和一个时刻 now，要清除用于归因的浏览历史记录：

1. 如果 forgetVisits 为 false：

   1. 断言：sites 非空。

   2. 令 startingEpoch 为以 now 为参数 调用获取归因的起始纪元 所得到的结果。

   3. 令 currentEpoch 为以 now 为参数 调用获取当前纪元 所得到的结果。

   4. 对于 sites 中的每个 site：

      1. 对于从 startingEpoch 到 currentEpoch 的闭区间 中的每个 epoch：

         1. 令 key 为由 site 和 epoch 构成的隐私 预算键。

         2. 将设置 隐私预算 存储[key] 为 0。

   5. 返回。

2. 如果 sites 为空：

   1. 清空展示存储。

   2. 清空隐私预算 存储。

   3. 清空展示站点配额存储。

   4. 清空全局 隐私预算存储。

3. 如果 sites 非空：

   1. 对于展示存储中的每个 impression，如果 sites 包含 impression 的展示站点， 则从移除 impression 于展示存储。

   2. 对于隐私预算存储的键 中的每个 key，如果 sites 包含 key 的站点分量， 则从移除 隐私预算 存储[key]。

   3. 对于展示站点配额存储的键 中的每个 key，如果 sites 包含 key 的站点分量， 则从移除 展示站点配额 存储[key]。

      此过程不会触及全局 隐私预算存储。 这主要是为了确保隐私预算 一旦耗尽，就不会被遗忘。

4. 将上次清除浏览历史记录设置为 now。

   在仅清除某些站点的状态时，设置上次清除浏览历史记录 （即当 sites 非空时） 会使该集合中不存在的站点无法访问某些展示。 实现也可以移除任何无法使用的展示 以及任何因此无法使用的预算记录 （例如全局隐私预算存储中的记录）。

saveImpression(options) 方法的步骤 如下：

1. 令 implicitInputs 为从 this 获取 隐式 API 输入的结果， 如有任何抛出的原因，则返回以该原因拒绝的 promise。

2. 断言：implicitInputs 不为 null。

3. 返回使用 options 和 implicitInputs 运行保存展示的结果。

给定 AttributionImpressionOptions options 和隐式 API 输入 implicitInputs，要保存 展示：

1. 令 document 为 implicitInputs 的关联文档。

2. 令 realm 为 document 的相关 Realm。

3. 如果 document 不被允许使用名为 "save-impression" 的策略控制的功能， 则返回以以下原因拒绝的 promise： 一个 "NotAllowedError" DOMException， 其位于 realm 中。

4. 给定 document，检查 Attribution API 激活状态，返回以任何抛出原因拒绝的 promise。

5. 验证页面提供的 API 输入：

   1. 如果 options.histogramIndex 大于或等于实现定义的最大直方图大小， 则返回以 RangeError 拒绝的 promise，其位于 realm 中。

   2. 如果 options.lifetimeDays 为 0， 则返回以 RangeError 拒绝的 promise，其位于 realm 中。

   3. 将 options.lifetimeDays 限制为 最大回溯期。

   4. 如果 options.conversionSites 的大小 大于实现定义的 每次展示的最大 转化站点数量， 则返回以 RangeError 拒绝的 promise，其位于 realm 中。

   5. 令 conversionSites 为集合，它是 对 options.conversionSites 中的每个值调用解析 站点所得的结果。

   6. 如果 conversionSites 中的任何结果为失败，则返回 以 "NotAllowedError" DOMException 拒绝的 promise，其位于 realm 中。

   7. 如果 options.conversionCallers 的大小 大于实现定义的 每次展示的最大 转化调用方数量， 则返回以 RangeError 拒绝的 promise，其位于 realm 中。

   8. 令 conversionCallers 为集合，它是 对 options.conversionCallers 中的每个值调用解析站点所得的结果。

   9. 如果 conversionCallers 中的任何结果为失败，则返回 以 "NotAllowedError" DOMException 拒绝的 promise，其位于 realm 中。

6. 并行运行以下步骤：

   1. 将 impression 构造为一个已保存的展示，由以下内容组成：

      匹配值

      options.matchValue

      展示站点

      implicitInputs 的顶级站点

      中介站点

      implicitInputs 的中介站点

      转化站点

      conversionSites

      转化调用方

      conversionCallers

      时间戳

      implicitInputs 的时间戳

      生命周期

      options.lifetimeDays 天

      直方图索引

      options.histogramIndex

      优先级

      options.priority

   2. 如果 Attribution API 已启用， 则将 impression 保存到展示存储中。

7. 令 result 为一个新的 AttributionImpressionResult。

8. 返回在 realm 中以 result 兑现的 promise。

saveImpression() 不会返回指示展示是否已被记录的状态。 这可以最大限度降低检测归因 API 何时被禁用的能力。

实现必须尝试 缓解可能泄露 API 状态的侧信道。 例如，为确保兑现所需的时间不依赖于现有展示的数量 或 API 是否启用，返回的 promise 是否兑现 并不取决于是否将 impression 保存到展示存储。

要从领域 realm 获取 隐式 API 输入，并具有可选的源（默认为 null）：

1. 令 window 为 realm 的全局对象。

2. 如果 window 不是一个 Window， 则返回 null。

3. 令 settings 为 realm 的设置对象。

4. 令 timestamp 为 settings 的当前墙上时间。

5. 令 topLevelOrigin 为 settings 的顶层源。

6. 令 topLevelSite 为从 topLevelOrigin 获取 兼容站点的结果。

7. 如果 origin 为 null，则将 origin 设置为 settings 的源。

8. 令 intermediarySite 为：

   1. 如果 origin 与 topLevelOrigin 同站点， 则为值 undefined，

   2. 否则，为从 origin 获取兼容站点的结果。

9. 返回一个具有以下字段的隐式 API 输入：

   顶层站点

   topLevelSite

   中间站点

   intermediarySite

   时间戳

   timestamp

   关联文档：

   window 的关联文档

给定源 origin，要获取 兼容站点， 并返回一个站点：

1. 如果 origin 不是元组源， 则抛出一个 "NotAllowedError" DOMException。

2. 令 host 为 origin 的主机组件。

3. 如果 host 为 "localhost"， 如果 host 以 " ".localhost" 结尾， 如果 host 以 U+005B ([) 开头， 或如果 host 以数字结尾， 则抛出一个 "NotAllowedError" DOMException。

4. 返回从 origin 获取站点的结果。

有关 localhost 域和 IP 地址主机的 处理说明，请参阅 § 4.1.4 站点名称。

measureConversion(options) 方法的 步骤如下：

1. 令 implicitInputs 为从 this 获取隐式 API 输入的结果， 如有任何抛出的原因，则返回以该原因拒绝的 promise。

2. 断言：implicitInputs 不为 null。

3. 返回使用 options 和 implicitInputs 运行测量转化的结果。

给定 AttributionConversionOptions options 和隐式 API 输入 implicitInputs，要测量 转化：

1. 令 document 为 implicitInputs 的关联文档。

2. 令 realm 为 document 的相关领域。

3. 如果不允许 document 使用名为 "measure-conversion" 的策略控制特性， 则返回以 realm 中的 "NotAllowedError" DOMException 拒绝的 promise。

4. 给定 document，检查归因 API 激活状态， 如有任何抛出的原因，则返回以该原因拒绝的 promise。

5. 令 validatedOptions 为 验证 options 的结果， 如有任何抛出的原因，则返回以该原因拒绝的 promise。

6. 令 promise 为 realm 中的一个新的 promise。

7. 并行运行以下步骤：

   1. 令 report 为使用 validatedOptions 的直方图大小调用创建全零直方图所得的结果。

   2. 如果归因 API 已启用， 则将 report 设置为使用 validatedOptions、 implicitInputs 的顶层站点、 implicitInputs 的中间站点和 implicitInputs 的时间戳执行归因并填充 直方图所得的结果。

   3. 令 aggregationService 为 validatedOptions 的聚合 服务。

   4. 根据 aggregationService.protocol 的值进行分支：

      dap-18-histogram

      执行以下步骤：

      1. 令 encryptedReport 为调用构造 DAP 报告所得的结果， 给定 validatedOptions、 implicitInputs 的顶层站点、 implicitInputs 的中间 站点、 implicitInputs 的时间戳以及 report。

   5. 令 result 为一个包含以下项目的 AttributionConversionResult：

      report

      encryptedReport

   6. 在归因 任务源上排入一个任务，以使用 result 兑现 promise。

8. 返回 promise。

实现必须尝试 缓解可能泄露 API 状态的侧信道。 例如，理想情况下，兑现返回的 promise 所需的时间不应取决于已存储或匹配的 展示数量，也不应取决于 API 是否启用。

要验证 AttributionConversionOptions options：

1. 如果 aggregationServices 不包含 一个条目，其键为 options.aggregationService， 则抛出一个 ReferenceError。

2. 令 aggregationService 为给定 options.aggregationService， 从 AttributionAggregationServices 中获取值的结果。

3. 如果 options.epsilon 小于或等于 0，或者大于最大 epsilon， 则抛出一个 RangeError。

4. 如果 options.histogramSize 为 0 或大于由实现定义的最大直方图 大小， 或者大于 options.aggregationService 的最大聚合服务 直方图大小（如果有）， 则抛出一个 RangeError。

5. 如果 options.value 为 0， 则抛出一个 RangeError。

6. 如果 options.value 大于 options.maxValue， 则抛出一个 RangeError。

7. 如果 options.credit 存在，则令 credit 为该值，否则为 «1»。

8. 如果 credit 为空，则抛出一个 RangeError。

9. 如果 credit 的任何项小于或等于 0， 则抛出一个 RangeError。

10. 如果 credit 的大小超过由实现定义的 最大 credit 值数量，则抛出一个 RangeError。

11. 如果 options.lookbackDays 存在，则令 lookback 为该值对应的 天数， 否则为最大回溯期对应的天数。

12. 如果 lookback 大于该最大值，则将 lookback 设置为最大回溯期对应的天数。

13. 如果 lookback 为 0 天，则抛出 一个 RangeError。

14. 如果 options.matchValues 的大小 大于由实现定义的最大 匹配值数量， 则抛出一个 RangeError。

15. 令 matchValues 为使用 options.matchValues 运行创建集合所得的结果。

16. 如果 options.impressionSites 的大小大于 由实现定义的每次转化的最大展示 站点数量， 则抛出一个 RangeError。

17. 令 impressionSites 为对 options.impressionSites 中的每个值调用解析 站点所得结果组成的集合。

18. 如果 impressionSites 中的任何结果为失败，则抛出一个 "NotAllowedError" DOMException。

19. 如果 options.impressionCallers 的大小大于 由实现定义的每次转化的最大 展示调用方数量， 则抛出一个 RangeError。

20. 令 impressionCallers 为对 options.impressionCallers 中的每个值调用解析 站点所得结果组成的集合。

21. 如果 impressionCallers 中的任何结果为失败，则抛出一个 "NotAllowedError" DOMException。

22. 返回一个具有以下字段的已验证转化选项：

    聚合服务

    aggregationService

    Epsilon

    options.epsilon

    直方图大小

    options.histogramSize

    回溯期

    lookback

    匹配值

    matchValues

    展示站点

    impressionSites

    展示调用方

    impressionCallers

    权重

    credit

    值

    options.value

    最大值

    options.maxValue

执行 归因并填充直方图，给定 已验证转化选项 options、 站点 topLevelSite、 站点或 undefined intermediarySite，以及 时刻 now：

1. 令 currentEpoch 为以 now 执行获取当前周期 所得的结果。

2. 令 startEpoch 为以 now 执行获取归因的起始周期 所得的结果。

3. 令 earliestEpoch 为调用获取当前周期 并传入（now − options 的回溯期）所得的结果。

4. 若 currentEpoch 等于 earliestEpoch，则令 isSingleEpoch 为 true；否则为 false。

5. 若 isSingleEpoch 为 true：

   1. 令 impressions 为以 options、topLevelSite、intermediarySite、 currentEpoch 和 now 调用通用匹配 逻辑 所得的结果。

   2. 若 impressions 为 空，则返回以 options 的直方图大小 调用创建全零直方图所得的结果。

   3. 令 histogram 为以 impressions、 options 的直方图大小、 options 的值和 options 的权重 执行使用最后 n 次触点归因填充 直方图所得的结果。

   4. 令 l1Norm 为 histogram 中各项之和。

   5. 断言：l1Norm 小于或等于 options 的值。

   6. 令 key 为一个隐私预算键，其项为 currentEpoch 和 topLevelSite。

   7. 令 budgetAndSafetyOk 为以 key、impressions、options 和 l1Norm 调用扣减隐私和安全 预算 所得的结果。

   8. 若 budgetAndSafetyOk 为 true，则返回 histogram。

   9. 返回以 options 的直方图大小 调用创建全零直方图所得的结果。

6. 令 matchedImpressions 为一个空集合。

7. 对于从 startEpoch 到 currentEpoch 的每个 epoch（含两端）：

   1. 令 impressions 为以 options、topLevelSite、intermediarySite、 epoch 和 now 调用通用匹配 逻辑 所得的结果。

   2. 若 impressions 不 为空：

      1. 令 key 为一个隐私预算键，其项为 epoch 和 topLevelSite。

      2. 令 budgetAndSafetyOk 为以 key、impressions 和 options 调用扣减隐私和安全 预算 所得的结果。

      3. 若 budgetAndSafetyOk 为 true， 则使用 impressions 扩展 matchedImpressions。

8. 若 matchedImpressions 为 空，则返回以 options 的直方图大小 调用创建全零直方图所得的结果。

9. 令 histogram 为以 matchedImpressions、 options 的直方图大小、 options 的值和 options 的权重 执行使用最后 n 次触点归因填充 直方图所得的结果。

10. 返回 histogram。

要创建 全零直方图，给定整数 size：

1. 返回一个列表，其大小为 size，其项全为 0。

要执行通用 匹配逻辑，给定 已验证转化选项 options、 站点 topLevelSite、 站点或 undefined intermediarySite、 时期索引 epoch，以及 时刻 now：

1. 令 matching 为一个空 集合。

2. 对于展示存储中的每个 impression：

   1. 令 impressionEpoch 为调用获取当前时期 并传入 impression 的时间戳所得的结果。

   2. 如果 impressionEpoch 不等于 epoch，则继续。

   3. 如果 now 晚于 impression 的时间戳 加上 impression 的生存期， 则继续。

   4. 如果 now 晚于 impression 的时间戳加上 options 的回溯期， 则继续。

   5. 如果 impression 的转换站点不为空 且不包含 topLevelSite， 则继续。

   6. 如果 intermediarySite 不是 undefined， 则令 conversionCaller 为 intermediarySite； 否则为 topLevelSite。

   7. 如果 impression 的转换调用方不为空 且不包含 conversionCaller， 则继续。

   8. 如果 options 的匹配值不为空 且不包含 impression 的匹配值， 则继续。

   9. 如果 options 的展示站点 不为空，且 不包含 impression 的展示站点， 则继续。

   10. 如果 impression 的中介站点 不是 undefined，则令 impressionCaller 为该值； 否则为 impression 的展示站点。

   11. 如果 options 的展示调用方 不为空 且不包含 impressionCaller， 则继续。

   12. 将 impression 追加到 matching。

3. 返回 matching。

要公平分配 功劳，给定一个 double 列表 credit 和整数 value：

1. 断言：credit 非空。

2. 令 sumCredit 为 credit 的项之和。

3. 令 roundedCredit 为一个新的列表。

4. 对于 credit 的每个 item，执行以下操作：

   1. 令 normalizedCredit 为 value * item / sumCredit。

   2. 将 normalizedCredit 追加到 roundedCredit。

5. 令 idx1 为 0。

6. 对于 roundedCredit 的索引中移除第一个项后的每个 n，执行以下操作：

   1. 令 idx2 为 n。

   2. 令 frac1 为 roundedCredit[idx1] − floor(roundedCredit[idx1])。

   3. 令 frac2 为 roundedCredit[idx2] − floor(roundedCredit[idx2])。

   4. 如果 frac1 和 frac2 都等于零，则继续。

   5. 如果 frac1 + frac2 大于 1，则令 incr1 为 1 − frac1，并令 incr2 为 1 − frac2。

   6. 否则，令 incr1 为 −frac1，并令 incr2 为 −frac2。

      incr1 表示要增加 roundedCredit[idx1] 的量，以使其成为整数； incr2 和 idx2 也类似。 注意，这些值可以为负。

   7. 令 p1 为 incr2 / (incr1 + incr2)。

      p1 的值表示 idx1 中的项被舍入为整数的概率。 当 incr1 + incr2 为 0 时会发生除以零， 这只有在 frac1 和 frac2 都为整数（要么都恰好为 0，要么都恰好为 1）时才可能。在这种情况下，idx2 不需要 舍入，因此我们直接跳过它。

   8. 令 r 为 0 到 1（包含两端）之间的随机 double。

   9. 如果 r 小于 p1，则令 incr 为 incr1， 并交换 idx1 和 idx2 的值。

   10. 否则，令 incr 为 incr2。

   11. 将 roundedCredit[idx2] 增加 incr。

   12. 将 roundedCredit[idx1] 减少 incr。

7. 令 integerCredit 为将 roundedCredit 中每个项通过舍入到最接近的整数 转换为整数的结果， 半值情况向远离零的方向舍入。

8. 返回 integerCredit。

   这个最终舍入步骤仅用于处理微小的浮点 加法和减法误差未能完全移除 roundedCredit[idx1] 的小数部分的情况。半值舍入模式 实际上永远不会发生，选择该模式是为了匹配 C++ std::round 行为，以便实现。

   该算法旨在：1）在各分配之间精确分配总计 value 的值； 2）保持 integerCredit 的期望值恰好等于 归一化功劳 （即 credit * value / sumCredit，其中 * 表示逐元素 相乘）； 3）任何分配都不会产生大于 1 的误差。

要使用最后 N 次触达 归因填充直方图，给定一个集合，其元素为 展示 matchedImpressions、整数 histogramSize、整数 value，以及 double 列表 credit：

1. 断言：matchedImpressions 非 空。

2. 令 sortedImpressions 为 matchedImpressions，按 优先级排序，然后按时间戳降序排序。

3. 令 N 为 credit 的大小 与 sortedImpressions 的大小 中的较小值。

4. 令 lastNImpressions 为 sortedImpressions 的前 N 个条目。

5. 移除 credit 中除前 N 个条目之外的所有条目。

6. 令 normalizedCredit 为使用 credit 和 value 公平分配 功劳的结果。

7. 令 histogram 为使用 histogramSize 调用创建 全零直方图的结果。

8. 对于 lastNImpressions 的索引中的每个 i，执行以下操作：

   1. 令 impression 为 lastNImpressions[i]。

   2. 令 value 为 normalizedCredit[i]。

   3. 令 index 为 impression 的直方图索引。

   4. 如果 index 小于 histogram 的大小， 则将 histogram[index] 增加 value。

9. 返回 histogram。

Save-Impression: histogram-index=3, match-value=2, conversion-sites=("advertiser.example"), lifetime-days=7

给定一个标头值 input，要解析 Save-Impression 标头，运行以下步骤：

1. 令 dict 为解析 结构化字段所得的结果， 其中将 input_bytes 设置为 input，并将 field_type 设置为“dictionary”。

2. 如果解析失败，则返回错误。

3. 令 histogramIndex 为 dict["histogram-index"] 且默认值为 undefined。

4. 如果 histogramIndex 不是整数，或者不在32 位无符号整数范围内，则返回错误。

5. 令 opts 为一个新的 AttributionImpressionOptions， 其包含以下项目：

   histogramIndex

   histogramIndex

6. 如果 dict["conversion-sites"] 存在：

   1. 令 conversionSites 为其值。

   2. 如果 conversionSites 不是内部 列表，或者 conversionSites 的任何项目 不是字符串， 则返回错误。

   3. 将 opts.conversionSites 设置为 conversionSites。

7. 如果 dict["conversion-callers"] 存在：

   1. 令 conversionCallers 为其值。

   2. 如果 conversionCallers 不是内部 列表，或者 conversionCallers 的任何项目 不是字符串， 则返回错误。

   3. 将 opts.conversionCallers 设置为 conversionCallers。

8. 如果 dict["match-value"] 存在：

   1. 令 matchValue 为其值。

   2. 如果 matchValue 不是整数，或者不在 32 位无符号整数范围内，则返回 错误。

   3. 将 opts.matchValue 设置为 matchValue。

9. 如果 dict["lifetime-days"] 存在：

   1. 令 lifetimeDays 为其值。

   2. 如果 lifetimeDays 不是正整数， 则返回错误。

   3. 将 opts.lifetimeDays 设置为 lifetimeDays。

10. 如果 dict["priority"] 存在：

    1. 令 priority 为其值。

    2. 如果 priority 不是整数，或者不在 32 位有符号整数范围内，则返回 错误。

    3. 将 opts.priority 设置为 priority。

11. 返回 opts。

Measure-Conversion: aggregation-service="https://aggregator.example/tee", histogram-size=20, epsilon=1.0, lookback-days=14, impression-sites=("publisher.example" "other.example"), impression-callers=("ad-tech.example"), match-values=(2), credit=(0.25 0.25 0.5), value=3, max-value=7, report-url="https://report-handler.example/foo"

给定一个标头值 input 和一个URL baseUrl，要解析 Measure-Conversion 标头，运行以下步骤：

1. 令 dict 为解析 结构化字段所得的结果， 其中将 input_bytes 设置为 input，并将 field_type 设置为“dictionary”。

2. 如果解析失败，则返回错误。

3. 令 aggregationService 为 dict["aggregation-service"] 且默认值为 undefined。

4. 如果 aggregationService 不是字符串，则返回 错误。

5. 令 histogramSize 为 dict["histogram-size"] 且默认值为 undefined。

6. 如果 histogramSize 不是正整数，或者不在32 位无符号整数范围内，则返回错误。

7. 令 reportUrlString 为 dict["report-url"] 且默认值为 undefined。

8. 如果 reportUrlString 不是字符串，则返回 错误。

9. 令 reportUrl 为以 baseUrl 为基准，将URL 解析器应用于 reportUrlString 所得的结果。

10. 如果 reportUrl 为失败，则返回错误。

11. 如果 reportUrl 不是潜在可信 URL，则返回错误。

12. 如果 reportUrl 的方案不是“https”，则返回错误。

13. 令 opts 为一个新的 AttributionConversionOptions， 其包含以下项目：

    aggregationService

    aggregationService

    histogramSize

    histogramSize

14. 如果 dict["epsilon"] 存在：

    1. 令 epsilon 为其值。

    2. 如果 epsilon 既不是十进制数， 也不是整数，则返回错误。

    3. 将 opts.epsilon 设置为 epsilon。

15. 如果 dict["lookback-days"] 存在：

    1. 令 lookbackDays 为其值。

    2. 如果 lookbackDays 不是正整数， 则返回错误。

    3. 将 opts.lookbackDays 设置为 lookbackDays。

16. 如果 dict["match-values"] 存在：

    1. 令 matchValues 为其值。

    2. 如果 matchValues 不是内部 列表，或者 matchValues 的任何项目 不是位于32 位无符号整数范围内的整数，则返回错误。

    3. 将 opts.matchValues 设置为 matchValues。

17. 如果 dict["impression-sites"] 存在：

    1. 令 impressionSites 为其值。

    2. 如果 impressionSites 不是内部 列表，或者 impressionSites 的任何项目 不是字符串， 则返回错误。

    3. 将 opts.impressionSites 设置为 impressionSites。

18. 如果 dict["impression-callers"] 存在：

    1. 令 impressionCallers 为其值。

    2. 如果 impressionCallers 不是内部 列表，或者 impressionCallers 的任何项目 不是字符串， 则返回错误。

    3. 将 opts.impressionCallers 设置为 impressionCallers。

19. 如果 dict["credit"] 存在：

    1. 令 credit 为其值。

    2. 如果 credit 不是内部 列表，或者 credit 的任何项目 既不是十进制数，也不是 整数，则返回错误。

    3. 将 opts.credit 设置为 credit。

20. 如果 dict["value"] 存在：

    1. 令 value 为其值。

    2. 如果 value 不是位于 32 位无符号整数范围内的正整数， 则返回错误。

    3. 将 opts.value 设置为 value。

21. 如果 dict["max-value"] 存在：

    1. 令 maxValue 为其值。

    2. 如果 maxValue 不是位于 32 位无符号整数范围内的正整数， 则返回错误。

    3. 将 opts.maxValue 设置为 maxValue。

22. 返回（opts, reportUrl）。

要发送报告，给定一个 字节 序列 report、 一个 URL url，以及一个环境设置对象 settings：

1. 断言：url 是一个潜在可信 URL。

2. 断言：url 的方案为 "https"。

3. 令 headers 为一个新的标头列表，其中包含一个名为 "Content-Type"、值为 "application/dap-report" 的标头。

   注：如果 AttributionAggregationProtocol 将来获得除 dap-18-histogram 之外的值，则这里需要更新。

4. 令 request 为一个具有以下属性的新请求：

   方法

   "POST"

   URL

   url

   标头列表

   headers

   主体

   report

   客户端

   settings

   模式

   "cors"

   缓存模式

   "no-store"

   keepalive

   true

   凭据模式

   "omit"

   引用来源

   url

5. 获取 request，并可在发生错误时重试。

要处理 Attribution 标头，给定一个请求 request 和响应 response，运行以下步骤：

1. 如果 request 的目标不是以下之一， 则返回：""、"audio"、"image"、"script"、 "track"、"video"。

2. 如果 request 的客户端不是安全上下文，则返回。

3. 如果 response 的 URL 不是潜在可信 URL，则返回。

4. 如果 response 的 URL 的方案不是 "https"，则返回。

5. 令 implicitInputs 为从 request 的客户端 获取隐式 API 输入的结果， 并使用 response 的URL 的源。

6. 如果 implicitInputs 为 null 或捕获到异常，则返回。

7. 令 saveImpressionHeader 为从 response 的标头列表中 获取 `Save-Impression` 的结果。

8. 如果 saveImpressionHeader 不是 null：

   1. 令 impressionOptions 为解析 saveImpressionHeader 的结果。

   2. 如果 impressionOptions 不是错误，则用 implicitInputs 保存 impressionOptions。

9. 令 measureConversionHeader 为从 response 的标头列表中 获取 `Measure-Conversion` 的结果。

10. 如果 measureConversionHeader 不是 null：

    1. 令 parseConversionResult 为解析 measureConversionHeader 的结果。

    2. 如果 parseConversionResult 不是错误：

       1. 令 (conversionOptions, reportUrl) 为 parseConversionResult。

       2. 令 reportPromise 为使用 conversionOptions 和 implicitInputs 运行衡量 转化的结果。

       3. 并行：

          1. 在 reportPromise 兑现时，令 result 为兑现值。

          2. 使用 result.report、 reportUrl 和 request 的客户端 发送报告。

在步骤

如果 includeCredentials 为 true， 则用户代理应当 根据 request 和 response 解析并存储 响应中的 Set-Cookie 标头。

之后添加以下步骤

1. 使用 request 和 response 处理 Attribution 标头。

要构造 DAP 报告， 生成一个字节序列 report， 给定已验证转化选项 options、 站点 topLevelSite、 站点或 undefined intermediarySite、 时刻 now， 以及由整数组成的列表 histogram：

1. 令 length 为 histogram 的大小。

2. 令 maxValue 为 options 的最大值。

3. 令 chunkLength 为 (Math.ceil(log2(maxValue + 1)) + 1) * length 的平方根， 并四舍五入到最接近的整数。

4. 令 vdaf 为一个新的 PrioL1BoundSum VDAF [PRIO-L1] 实例， 并传入 length、maxValue 和 chunkLength。

5. 令 microEpsilon 为 options 的epsilon 乘以 1,000,000，然后向正 Infinity 方向取整。

6. 如果 intermediarySite 不为 undefined， 则令 caller 为 intermediarySite， 否则为 topLevelSite。

7. 令 taskConfig 为按照 第 4.2 节 中 [DAP] 所定义的方式，对 TaskConfiguration 实例 进行编码所生成的字节 序列，其值如下：

   1. 一个空的 task_info。

   2. 将 leader_aggregator_endpoint 设置为 DAP Leader 的序列化 URL， 该 URL 取自 options.聚合 服务中所选聚合服务的由实现定义的定义。 编码值通过使用已配置的 URL 和 false（用于排除片段）调用URL 序列化器 来生成。

   3. 将 helper_aggregator_endpoint 设置为 DAP Helper 的序列化 URL， 该 URL 取自 options.聚合 服务中所选聚合服务的由实现定义的定义， 并使用与 leader_aggregator_endpoint 值相同的过程生成。

   4. 值为 5 的 time_precision。

   5. 值为 20 的 min_batch_size。

   6. 值为 TBD 的 batch_mode（参见用于归因 API 的分布式 聚合协议 (DAP) 扩展 § batch-mode）。

   7. 一个空的 batch_config。

   8. 值为 7 的 vdaf_type（参见对贡献施加 L1 范数界的向量求和 Prio 实例化 § dap）。

   9. 按照 PrioL1BoundSum 对贡献施加 L1 范数界的向量求和 Prio 实例化 § dap进行编码的 vdaf_configuration， 其中使用 length、maxValue 和 chunkLength。

   10. 一组任务扩展 extensions， 它是一个从16 位无符号整数到字节序列的映射：

       • 收集器 身份的扩展代码点， 映射到 caller 的主机组件的序列化形式。

       • 隐私 预算来源的扩展代码点， 映射到 topLevelSite 的主机组件的序列化形式。

8. 令 taskID 为通过 DAP 的任务 绑定与带内配置 § task-id 中描述的过程生成的字节 序列， 并传入 taskConfig。

9. 令 ctx 为通过连接 编码后的字符串 dap-18 和 taskID 形成的字节 序列， 如 第 4.4.2.1 节 中的 [DAP] 所定义。

10. 令 reportID 为从密码学安全随机源 [RFC4086] 中采样的 16 个字节。

11. 令 rand 为从密码学安全随机源 [RFC4086] 中采样的 128 个字节。

12. 令 publicShare、inputShares 为调用 vdaf.shard() 的结果， 如 第 4.1 节 中的 [VDAF] 所定义， 并传入 ctx、histogram、reportID（作为 VDAF 的 "nonce" 参数） 和 rand。

13. 令 time 为将从Unix 纪元到 now 的持续时间 除以 5 秒的持续时间 所得的整数， 并向负 Infinity 方向取整。

14. 令 extensions 为一个从16 位无符号整数到字节序列的映射， 由以下内容组成：

    • 隐私 预算的扩展代码点， 映射到 microEpsilon 的值， 该值通过使用 UINT32、 值 microEpsilon 和 false（用于 isLittleEndian）调用 NumericToRawBytes 进行编码。

15. 令 reportMetadata 为由 reportID、time 和 extensions 生成的已编码 DAP ReportMetadata。

16. 令 encryptedInputShares 为一个空 列表。

17. 对于 inputShares 中的每个 share， 按照 第 4.4.2.1 节中描述的加密份额方法执行：

    1. 令 pkR 为从 options.聚合 服务所指示的聚合服务获取的聚合服务 HPKE 配置中相应角色的公钥。

       "dap-18-histogram" 的 URL 预期用于标识 DAP Leader 角色。 实现需要静态获取两个聚合器的 HPKE 配置； 参见 § 9.4 未配置的浏览器。

    2. 令 serverRole 为一个字节，其值对于 第一项（Leader）为 2， 对于第二项（Helper）为 3。

    3. 令 info 为通过连接以下内容形成的字节 序列： 字符串 dap-18 input share 的编码后的值、 一个值为 0x01 的字节，以及 serverRole。

    4. 令 inputShareAAD 按照 InputShareAad 的结构， 由 taskID、reportMetadata、publicShare 和 taskConfig 构造。

    5. 令 plaintextShare 按照 PlaintextInputShare 的结构， 由一个空集合（用于 private_extensions）和 share（用于 payload） 构造。

    6. 令 hpke 为一个基于相同 HPKE 配置的 HPKE [RFC9180] 实例。

    7. 令 encryptedShare 为调用 hpke.Seal<mode_base>() 的结果， 并传入 pkR、info、inputShareAAD 和 plaintextShare。

    8. 将 encryptedShare 追加到 encryptedInputShares。

18. 令 report 为由 reportMetadata、publicShare、 encryptedInputShares （这两个值分别为 Leader 和 Helper 的加密输入份额） 以及从 DAP 聚合器获得的聚合服务 HPKE 配置 生成的已编码 DAP Report。

19. 返回 report。

此算法复现了 DAP 相关规范的一些细节。 如果本文档与那些规范之间存在差异， 则这是本文档中的非故意错误。 与 DAP 交互时始终遵循被引用的规范。