机场安全吗？使用机场的隐私风险与 6 条自保建议
机场安全吗？机场牛的结论：没有“安全”或“不安全”的二元答案。 用机场，等于把你的网络流量交给一个第三方去中转，它能看到什么，取决于三件事：流量有没有加密、域名解析走了哪条路、运营方自己怎么记日志。你能做的，是把暴露面压到最小。
下面先说清楚运营方能看到什么，再给 6 条能立刻照做的自保建议。使用代理服务请遵守所在地法律法规，机场牛不提供法律意见。
机场运营方能看到什么：元数据能看，加密内容通常看不到
先解释一个词。元数据指“谁、什么时候、连到哪、用了多少流量”这类描述连接本身的信息，而不是连接里传的内容。
| 信息类型 | 运营方技术上能否看到 | 说明 |
|---|---|---|
| 你的来源 IP、连接时间 | 能 | 连到节点就必然暴露 |
| 流量大小、连接时长 | 能 | 属于元数据 |
| 你访问的域名或地址 | 通常能 | 域名解析若经过节点，或握手信息未加密，就可能被看到 |
| HTTPS 网站的页面内容、账号密码 | 一般看不到 | 加密是在你和网站之间完成的 |
| 未加密的 HTTP 内容 | 能 | 明文传输 |
| 面板里的账号信息、订单、设备数、订阅拉取记录 | 能 | 这是他们自己的系统 |
要强调一个区别：“技术上能看到”不等于“实际在记录”。 是否记录、记多久、给谁看，取决于运营方的日志政策，而外部几乎无法核实。所以下面的建议，思路都是“不依赖对方的承诺”。
HTTPS 保护了什么，没保护什么
HTTPS 保护的是你和网站之间的内容：页面、表单、登录凭据。节点只是转发加密后的数据，所以大多数情况下，它读不到你在 HTTPS 网站上输入的密码。
它没有保护的东西：
- 元数据：你连了谁、什么时候、连了多久；
- 未加密的 HTTP 页面和其他明文通信；
- 你自己主动交出去的权限：比如安装了对方提供的根证书或配置描述文件，等于授权对方解密 HTTPS 流量。
所以有一条红线：任何要求你安装陌生证书、描述文件、或授予额外权限的步骤，先停下来，弄清楚为什么需要、来源是否可靠。 正常使用订阅，一般不需要这些。
进阶：就算是 HTTPS，运营方为什么还可能知道你访问了哪个网站？
上面说“HTTPS 页面内容看不到”，这是对的，但很多人会因此误以为“连我访问了谁都看不到”。再往深里讲一层，运营方知道你连了哪个站，通常有两个来源。
来源一：域名解析。 你要访问一个网站，客户端得先把域名换成地址。如果这一步是通过节点完成的，或者被客户端交给了远端处理，那么节点一侧就有机会看到你查询的域名。这也是为什么后面的建议里会专门讲 DNS 泄漏和代理 DNS：它决定了“域名这件事”到底是谁看到的。
来源二：握手信息。 建立 HTTPS 连接时，常见情况下客户端会在握手阶段带上目标网站的名称，这部分在多数网站上仍是明文。有一些新技术正在尝试把它也加密，但覆盖范围和客户端支持并不均衡，不要假设自己已经受益。
再理解一个边界：代理协议加密的是你和节点之间那一段，节点到目标网站这一段，取决于网站本身是不是 HTTPS。所以你访问的是明文 HTTP 页面时，内容在节点之后是裸露的，节点的运营方、路径上的设备都有机会看到。
把这几点合起来，可以得到一个保守的结论：机场运营方技术上能看到你“连了谁、连了多久、用了多少”，大概率看不到 HTTPS 页面里“说了什么”。 这是通用的原理说明，具体实现因软件和协议而异，请以相关客户端和协议的官方说明为准。机场和传统 VPN 在信任模型上的异同，可以读 机场和VPN区别。
机场安全 6 条自保建议
1. 把订阅链接当密码对待
订阅链接相当于账号凭证，拿到的人能用你的流量、占你的设备数。不要发到群里，不要放在公开截图里；怀疑泄露，就去面板里重置。细节读 机场订阅链接安全。
2. 重要账号别在不信任的线路上登录，并开二步验证
网银、支付、主邮箱这类账号，尽量别在来路不明的线路上操作。能开二步验证的都开上，哪怕线路被人监听，仅凭密码也进不去。
3. 读日志政策，不要读“无日志”三个字
要看的是隐私政策里写了什么：记录哪些内容（连接记录、访问记录、账号信息），保留多久，是否会提供给第三方，投诉或违规时怎么处理。没有隐私政策本身就是一个信号。“无日志”这类宣传只是声明，外部无法验证，别当事实。
4. 做一次隐私检测，查 DNS 泄漏
隐私检测的目的，是确认你的出口和你以为的一致。通用的检测页面一般会查三件事：
- 当前出口 IP 和归属地；
- 域名解析请求是从哪里发出的，有没有绕开代理，也就是 DNS 泄漏；
- 浏览器的 WebRTC 在某些设置下是否暴露了本地或真实 IP。
开着代理做一次，关掉代理再做一次，对比差异。怎么查、怎么修，读 DNS 泄漏检测。机场牛不推荐具体检测页，也不依赖任何一个页面的数据。
5. 做好账号隔离：独立邮箱、独立密码
注册机场用单独的邮箱，密码不要和其他服务复用。这样即使对方的数据库出了问题，损失也被限制在一个小范围内。付款信息同理，别把对方的页面当作可以随便留信息的地方。
6. 软件和服务只走可信来源
- 客户端从官方渠道下载，比如 Clash Verge 下载 页里讲的官方仓库，不要从第三方下载站拿安装包。
- 订阅转换用的第三方在线服务，订阅链接会经过对方，风险见 订阅转换是什么。
- 免费服务要看它靠什么维持，参考 免费机场 的说明；看不到隐私政策、看不出运营主体的，保持距离。
关于机场隐私的 5 个常见误区
误区 1：开了机场就等于匿名上网。 为什么不对：连到节点的那一刻，你的来源 IP 就暴露给运营方，而且你有账号、有订单、有订阅拉取记录。机场是中转，不是匿名工具。正确做法：把它理解成“把一部分信任从本地网络转给了机场运营方”，别把它当隐身衣。
误区 2：网站是 HTTPS，加上机场，就没有任何人知道我在干什么。 为什么不对：内容受保护，元数据没有，前面的进阶部分已经讲过域名解析和握手信息。正确做法：按“元数据可能被看到”来规划，敏感行为不依赖线路本身。
误区 3：隐私政策写了“不保存日志”，就可以放心。 为什么不对：这是声明，不是验证，外部用户几乎无法核实。正确做法：读清楚记录什么、保留多久、是否给第三方，再配合二步验证和账号隔离，让你的安全不依赖对方的承诺。
误区 4：只要我不装陌生证书，就万事大吉。 为什么不对：不装证书只是去掉了一个主要风险，订阅链接泄露、密码复用、钓鱼页面、从非官方渠道下载客户端，都是现实中更常见的口子。正确做法：对照上面的 6 条逐项补齐。
误区 5：开了 TUN 或设置了代理 DNS，就不可能泄漏。 为什么不对：配置是否生效、哪些应用绕开了代理，需要实际检测才知道。正确做法：每次改动设置后做一次出口 IP 与 DNS 检测，关于 TUN 的原理和坑，读 TUN模式是什么。
机场隐私风险有多大，因场景而异
| 你的场景 | 建议的谨慎程度 |
|---|---|
| 浏览公开网页、看视频 | 做好第 1、4、6 条就够用 |
| 登录邮箱、社交账号 | 再加第 2、5 条：二步验证、账号隔离 |
| 网银、支付、工作敏感内容 | 尽量别走不熟悉的线路；涉及单位网络，按单位规定办 |
| 需要传输敏感文件 | 在应用层额外加密，不要只靠线路 |
决策路径很简单：越敏感的账号，越不要把信任押在一个第三方的承诺上。
按场景对号入座：5 种情况，防护该加到哪一步
如果你在公共 Wi-Fi 上用机场：代理隧道对本地网络里的其他人是加密的，但这不代表可以放松警惕。公共网络里更常见的风险是钓鱼页面和弹出的证书、描述文件提示。看到要求安装任何东西的弹窗，先关掉，再回到官方渠道核实。
如果你和家人、室友共用一条订阅：订阅链接等于账号凭证，别在不熟的人之间传。设备数通常有上限，具体看服务商条款。一旦有人不再使用、或者怀疑链接被转发，就去面板重置，并在家里统一更新。链接泄露了会发生什么，见 订阅链接 的解释。
如果你用的是免费线路：只做公开网页浏览，不登录重要账号，不输入支付信息。免费服务的成本总要有人承担，隐私政策看不到、运营主体看不出的，保持距离。
如果你在公司或学校的设备上使用：先看单位的规定。这类设备常装有管理软件，也可能限制安装证书和客户端。按单位规则办，别为了方便装来路不明的描述文件，也不要把工作内容放在不熟悉的线路上。
如果你刚入门，想先小额试一个新服务：用单独的邮箱注册，密码不复用，付款选月付，先别绑定任何常用账号。入门选择思路读 新手机场推荐，下单前可以对照 买机场前自检清单 再确认一遍。
挑服务时，从隐私角度先核对什么
- 官网有没有公开的隐私政策和服务条款，写得具体还是笼统；
- 注册和付款需要哪些个人信息，越少越好；
- 出问题时有没有公告渠道和联系方式；
- 资料页里能核对的信息，可以对照 机场库 和 机场对比，隐私政策的具体条款要以官网为准。
每月自查一次：10 条可以勾选的机场隐私清单
建议每月固定一天过一遍。能全部勾上，说明你的暴露面基本可控；勾不上的，就是下个月要补的功课。
- 订阅链接没有出现在任何公开截图、群聊记录或公开的笔记页里。
- 注册机场用的是独立邮箱，且密码没有和其他服务复用。
- 主邮箱和支付类账号已经开启二步验证。
- 客户端安装包来自官方仓库，没有“破解版”“整合版”之类来历不明的包。
- 没有安装过来路不明的根证书或配置描述文件，装过的已经核对过来源。
- 本月做过一次出口 IP 与 DNS 检测，开关代理各一次，结果与预期一致。
- 检查过浏览器的 WebRTC 相关设置，确认不会暴露真实 IP。
- 重读过隐私政策，能用一句话写出“记录什么、保留多久”。
- 面板里设备列表中没有不认识的设备，订阅拉取记录也没有异常。
- 不再使用的订阅或账号，已经重置链接或注销。
今天就能做的 4 件事
- 检查你的订阅链接有没有出现在任何公开的截图或聊天里，有就去面板重置。
- 给主邮箱和支付类账号打开二步验证。
- 打开客户端，做一次 DNS 泄漏和出口 IP 的检测，记下结果。
- 读一遍你正在用的服务的隐私政策，把“记录什么、保留多久”各用一句话写下来。
这些做法不能让机场安全变成零风险的事，但能让你的暴露面可控，别当冤大头。
机场安全常见问题
机场运营方能看到我访问了哪些网站吗？
技术上通常能看到连接的元数据，比如你的来源 IP、连接时间、流量大小，以及你访问的域名或地址。对 HTTPS 网站，具体页面内容和账号密码一般看不到。是否记录、记录多久，取决于运营方的日志政策，外部很难核实。
用机场时，HTTPS 网站的密码会被机场看到吗？
一般不会。HTTPS 在你和网站之间加密，节点只是转发加密后的数据。但有两个例外要警惕：你访问的是未加密的 HTTP 页面，或者你安装了对方提供的根证书、配置描述文件，这等于授权对方解密。遇到这类要求先别安装。
机场宣传“无日志”可信吗？
它只能当作服务商的声明，不能当作已被验证的事实。外部用户通常无法核实服务商是否真的不记录。更实际的做法是读隐私政策里写了什么、保留多久、是否会提供给第三方，同时对重要账号加二步验证，不依赖对方的承诺。
怎么检查机场有没有 DNS 泄漏或暴露真实 IP？
可以用通用类型的检测页面查三项：当前出口 IP 与归属地，域名解析请求是从哪里发出的，浏览器 WebRTC 是否暴露了本地或真实 IP。开着代理做一次，关掉代理再做一次，对比差异。修复思路见 DNS 泄漏相关教程。
免费机场安全吗？
不能一概而论，但免费服务的成本总要有人承担，常见方式包括广告、流量变现或附加条件，具体要看服务自己怎么写。重要账号不要在来路不明的线路上登录，隐私政策和日志政策看不到的服务，更要保持距离。
延伸阅读
- 机场订阅链接安全：泄露了怎么办，怎么重置
- DNS泄漏检测：怎么查、怎么修，与代理DNS设置入门
- 免费机场靠谱吗？免费节点与付费机场的区别
- 机场订阅被封了怎么办？订阅被禁用的常见原因、判断方法和处理步骤
- 机场年付风险有哪些？付年费前先问清这 5 件事