三樣東西分開看：帳號、訂閱連結、用戶端
連不上、頻繁斷線、提示訂閱失效，新手遇到這些情況時的第一反應通常是「線路壞了」。實際上更常見的狀況，是帳號、訂閱連結、用戶端這三樣東西中的某一樣出了岔子。這篇新手安全指南先不著急講開關怎麼調，而是把三者的邊界劃清楚：誰掌握登入權限，誰掌握連線權限，各自遺失以後該按什麼順序處理。
| 項目 | 它是什麼 | 脫離你控制後的影響 | 對應處置 |
|---|---|---|---|
| 帳號（使用者名稱 + 密碼） | 登入使用者面板的憑證 | 他人可查看訂單資訊、重設訂閱連結 | 修改密碼；若與其他網站重複，一併修改 |
| 訂閱連結 | 一條網址，用戶端匯入後自動拉取線路設定 | 無需帳號即可匯入並使用線路 | 在面板重設訂閱，舊連結立即失效 |
| 用戶端設定 | 保存在本機的節點資訊與分流規則 | 同一台裝置上的其他使用者可以讀取 | 移除設定、登出、清理匯出的檔案 |
三行裡最容易被低估的是第二行。帳號至少還有密碼擋在前面，訂閱連結本身就是憑證：拿到連結的人不需要知道你的使用者名稱，也不需要經過你的同意，匯入之後就能連上同一批線路。
一條資訊要不要發出去，只看一件事：它能不能被用來建立連線。能，就當密碼對待；不能，才算普通資料。
訂閱連結為什麼等同帳號憑證
訂閱連結通常以 http 或 https 開頭，看起來只是一條普通網址。打開它，回傳的是一段編碼後文字，用戶端解碼後得到完整的連線參數：伺服器位址、連接埠、協定類型、加密方式，以及密碼或 UUID。換句話說，「用什麼身分連上哪台伺服器」這件事，已經全部寫在連結裡了。
下面兩條是示意格式，位址取自文件專用網段 203.0.113.0/24，密碼為示範值，不指向任何可用伺服器。
ss://[email protected]:8388#示例節點
trojan://[email protected]:443?sni=example.com#示例節點不同協定攜帶的憑證形態不一樣，共同點是：連結裡必須包含可以直接建立連線的欄位，否則用戶端無法完成匯入。這也解釋了為什麼重設訂閱連結會立刻見效——伺服器端換掉了憑證，舊連結裡的參數隨即失效。
| 協定 | 憑證形態 | 傳輸層 | 說明 |
|---|---|---|---|
| Shadowsocks | 密碼 + 加密方式 | TCP，可另配 UDP 轉送 | 結構簡單，用戶端相容性廣 |
| VMess | UUID | TCP，可疊加 WebSocket / gRPC 等傳輸層 | 參數項目較多，匯入時需與傳輸層設定搭配 |
| Trojan | 密碼 | TCP，走 TLS，連接埠通常為 443 | 流量特徵接近一般 HTTPS |
| VLESS | UUID | TCP，常與 XTLS / Reality 搭配 | 結構比 VMess 精簡，加密交由傳輸層 |
| Hysteria2 | 密碼或認證字串 | 基於 QUIC，走 UDP | 面向丟包較多的鏈路，依賴 UDP 通路 |
| TUIC | UUID + 密碼（v5） | 基於 QUIC，走 UDP | 與 Hysteria2 同屬 QUIC 系，受 UDP 品質影響 |
這張表只說明一件事：無論用哪種協定，訂閱連結裡都必須包含能直接建立連線的憑證。連結被複製走，等於連線權限被複製走，與協定本身是否先進無關。
重設訂閱為什麼立刻見效
訂閱連結由伺服器端簽發，重設操作會在伺服器端換掉這批憑證。舊連結再去拉取設定時，伺服器端已經不再認它，所以重設是切斷連線權限最快的一步。相較之下，改密碼只影響使用者面板的登入，無法讓一條已經流出的訂閱連結失效。兩者的作用範圍不同，不能互相替代。
「連結只有我自己知道」通常不成立。訂閱連結會在用戶端裡以明文保存，也容易出現在截圖、剪貼簿歷史、聊天記錄和工單描述裡。任何一次轉傳，都等於把連線權限複製了一份出去。
公共 Wi-Fi 下的真實風險在哪
公共 Wi-Fi 的風險不在「訊號被截獲」這種籠統說法上，而在幾個可以逐項對照的具體環節。下面按發生方式分開列，順帶標明加密隧道能涵蓋到哪一步。
| 風險點 | 實際發生方式 | 隧道是否緩解 |
|---|---|---|
| 同一網段嗅探 | 明文 HTTP 請求可被同網路內的裝置讀取 | 緩解：流量進入隧道後不可讀 |
| 仿冒的入口登入頁 | 假頁面收集你在登入欄位裡輸入的帳號與密碼 | 不緩解：登入發生在隧道建立之前 |
| 網域名稱解析被改寫 | 解析結果被替換，指向外觀相同的仿冒網站 | 取決於解析是否走隧道，需單獨確認 |
| 同名熱點 | 裝置自動連上名稱相同的偽造熱點 | 不緩解：需要在系統設定裡關掉自動連線 |
表格裡有兩行是隧道解決不了的。強制入口頁要求你先在網頁上完成登入，隧道才允許建立，這一步提交的內容是直接交給熱點營運方的。所以在公共網路上，第一件事是關掉系統的「自動加入已知網路」，第二件事是不要在入口頁面上使用與重要帳號相同的密碼。
分流規則決定了哪些流量真的進了隧道
用戶端裡的分流規則（有的介面叫路由規則）決定哪些請求走隧道、哪些直連。預設規則通常把區域網路位址和常用本地網站設為直連，這能提高速度，但也意味著這部分流量不受隧道保護。在不確定規則內容時，把模式切到全域更穩妥；回到可信網路後再切回規則模式，按需調整。
解析洩漏是另一件要單獨確認的事
網域名稱解析負責把網域換成位址。如果隧道只接管了網頁流量，解析請求仍由本地網路處理，就會出現解析洩漏：你造訪過哪些網域，對本地網路來說是可見的，回傳的位址也可能被改寫。判斷方法很簡單，連線之後打開任一個解析檢測頁面，看結果裡的解析伺服器所屬地區是否與所選線路一致。不一致，說明解析沒有走隧道，需要在用戶端裡把解析處理方式改為由隧道接管，或直接啟用用戶端的「防止洩漏」選項。
各平台用戶端的差異
桌面用戶端（Windows、macOS）一般提供完整的規則模式與分應用程式設定，可調項目最多。Android 支援按應用程式選擇是否走隧道。iOS 受系統機制限制，規則由設定描述檔決定，可選粒度比桌面端粗，需要更早決定用全域還是規則模式。Linux 上多為命令列用戶端，設定需要手動維護，建議把訂閱連結的更新週期記在行事曆裡，避免憑證輪換後忘記重新匯入。
哪些資訊任何客服都不該向你索取
判斷標準只有一條：對方要的東西，是不是定位問題所必需。排障真正需要的資訊其實很少，超出這個範圍的一律不給。
- ✅ 可以提供：使用者名稱（不是密碼）、訂單編號、問題現象、用戶端與系統版本、完整錯誤訊息。
- ✅ 可以提供：截圖，但發送前先確認畫面裡沒有訂閱連結、QR Code 或節點資訊。
- ❌ 不提供：帳號密碼。任何情況下，核對線路狀態都不需要你的密碼。
- ❌ 不提供：訂閱連結全文。需要核對設定時，只描述現象，不要貼上連結。
- ❌ 不提供：付款帳戶的登入憑證，或付款憑證上的完整卡號。
- ❌ 不提供：身分證件照片。身分核對不屬於線路排障的必要環節。
換個角度看，這份清單也能用來識別冒充者。如果對方主動索要上面標 ❌ 的內容，無論理由說得多充分，都應該先停下來，透過你自己打開的官方入口重新確認對話對象。本服務註冊只需使用者名稱和密碼，無需電子郵件地址，也不要求填寫額外資料，這一點本身就可以作為判斷依據。
憑證疑似外洩後的處置順序
發現訂閱連結被轉傳到群組裡、帳號在陌生裝置上登入過，或者只是不確定有沒有外洩，按下面的順序處理。順序不能顛倒，原因寫在每一步後面。
- 先在用戶面板重設訂閱連結。這一步讓流出的憑證立即作廢，是唯一能馬上切斷連線權限的操作。
- 再修改帳號密碼。如果這組使用者名稱與密碼在別處也用過，一併改掉。重複使用同一組憑證，會讓一次外洩擴散成多次。
- 檢查面板裡的訂單與登入資訊。確認沒有非本人發起的變更，再決定是否需要進一步處理。
- 在每台裝置上刪除舊設定，重新匯入新訂閱。舊設定留在裝置裡不會自動消失，但它指向的憑證已經作廢，留著只會造成反覆連線失敗。
- 清理曾經匯出或轉傳過的檔案。包括聊天記錄裡的連結、剪貼簿內容，以及存過設定的筆記。
把安全承諾換成可核對的事實
新手挑選服務時最容易被打動的，是那些聽起來很滿、卻無法核對的承諾。這類詞沒有可驗證的含義，誰都能寫。更有用的做法，是看對方願意公開哪些可以被核對的事實：覆蓋多少國家與地區、有多少條線路、退款期限多長、註冊需要提交什麼資料、隱私條款裡對記錄範圍怎麼表述。
這三項可以直接對照：覆蓋範圍決定線路選擇的餘地，線路數量影響高峰期的可用性，退款期限決定試錯成本。而與安全直接相關的其實是另外兩項——註冊環節要不要提交電子郵件，隱私條款裡怎麼描述記錄範圍。本服務的做法是註冊只需使用者名稱和密碼，無需電子郵件地址；隱私條款中寫明不記錄瀏覽內容。這類表述屬於政策陳述，可以被核對，也不會被包裝成無法核對的保證。
回到開頭那張表：帳號、訂閱連結、用戶端設定，各自對應一種權限。把三者的邊界記住，新手階段能避開的坑就涵蓋了大半。至於裝置數量、線路選擇這類使用層面的調整，可以放到後面慢慢做。