三样东西分开看：账号、订阅链接、客户端
连不上、频繁掉线、提示订阅失效，新手遇到这些情况时的第一反应通常是「线路坏了」。实际上更常见的状况，是账号、订阅链接、客户端这三样东西中的某一样出了岔子。这篇新手安全指南先不急着讲开关怎么调，而是把三者的边界划清楚：谁掌握登录权限，谁掌握连接权限，各自丢了以后该按什么顺序处理。
| 项目 | 它是什么 | 脱离你控制后的影响 | 对应处置 |
|---|---|---|---|
| 账号（用户名 + 密码） | 登录用户面板的凭据 | 他人可查看订单信息、重置订阅链接 | 修改密码；若与其他站点重复，一并修改 |
| 订阅链接 | 一条地址，客户端导入后自动拉取线路配置 | 无需账号即可导入并使用线路 | 在面板重置订阅，旧链接立即失效 |
| 客户端配置 | 保存在本机的节点信息与分流规则 | 同一台设备上的其他使用者可以读取 | 移除配置、退出登录、清理导出的文件 |
三行里最容易被低估的是第二行。账号至少还有密码挡在前面，订阅链接本身就是凭据：拿到链接的人不需要知道你的用户名，也不需要经过你的同意，导入之后就能连上同一批线路。
一条信息要不要发出去，只看一件事：它能不能被用来建立连接。能，就当密码对待；不能，才算普通资料。
订阅链接为什么等同于账号凭据
订阅链接通常以 http 或 https 开头，看起来只是一条普通地址。打开它，返回的是一段编码后的文本，客户端解码后得到完整的连接参数：服务器地址、端口、协议类型、加密方式，以及密码或 UUID。换句话说，「用什么身份连上哪台服务器」这件事，已经全部写在链接里了。
下面两条是示意格式，地址取自文档专用网段 203.0.113.0/24，密码为演示值，不指向任何可用服务器。
ss://[email protected]:8388#示例节点
trojan://[email protected]:443?sni=example.com#示例节点不同协议携带的凭据形态不一样，共同点是：链接里必须包含可以直接建立连接的字段，否则客户端无法完成导入。这也解释了为什么重置订阅链接会立刻见效——服务端换掉了凭据，旧链接里的参数随即失效。
| 协议 | 凭据形态 | 传输层 | 说明 |
|---|---|---|---|
| Shadowsocks | 密码 + 加密方式 | TCP，可另配 UDP 转发 | 结构简单，客户端兼容面广 |
| VMess | UUID | TCP，可叠加 WebSocket / gRPC 等传输层 | 参数项较多，导入时需与传输层设置配套 |
| Trojan | 密码 | TCP，走 TLS，端口通常为 443 | 流量特征接近常规 HTTPS |
| VLESS | UUID | TCP，常与 XTLS / Reality 搭配 | 结构比 VMess 精简，加密交由传输层 |
| Hysteria2 | 密码或认证串 | 基于 QUIC，走 UDP | 面向丢包较多的链路，依赖 UDP 通路 |
| TUIC | UUID + 密码（v5） | 基于 QUIC，走 UDP | 与 Hysteria2 同属 QUIC 系，受 UDP 质量影响 |
这张表只说明一件事：无论用哪种协议，订阅链接里都必须包含能直接建立连接的凭据。链接被复制走，等于连接权限被复制走，与协议本身是否先进无关。
重置订阅为什么立刻见效
订阅链接由服务端签发，重置操作会在服务端换掉这批凭据。旧链接再去拉取配置时，服务端已经不再认它，所以重置是切断连接权限最快的一步。相比之下，改密码只影响用户面板的登录，无法让一条已经流出的订阅链接失效。两者的作用范围不同，不能互相替代。
「链接只有我自己知道」通常不成立。订阅链接会在客户端里明文保存，也容易出现在截图、剪贴板历史、聊天记录和工单描述里。任何一次转发，都等于把连接权限复制了一份出去。
公共 Wi-Fi 下的真实风险在哪
公共 Wi-Fi 的风险不在「信号被截获」这种笼统说法上，而在几个可以逐个对照的具体环节。下面按发生方式分开列，顺带标明加密隧道能覆盖到哪一步。
| 风险点 | 实际发生方式 | 隧道是否缓解 |
|---|---|---|
| 同一网段嗅探 | 明文 HTTP 请求可被同网络内的设备读取 | 缓解：流量进入隧道后不可读 |
| 仿冒的门户登录页 | 假页面收集你在登录框里输入的账号与密码 | 不缓解：登录发生在隧道建立之前 |
| 域名解析被改写 | 解析结果被替换，指向外观相同的仿冒站点 | 取决于解析是否走隧道，需单独确认 |
| 同名热点 | 设备自动连上名称相同的伪造热点 | 不缓解：需要在系统设置里关掉自动连接 |
表格里有两行是隧道解决不了的。强制门户要求你先在网页上完成登录，隧道才允许建立，这一步提交的内容是直接交给热点运营方的。所以在公共网络上，第一件事是关掉系统的「自动加入已知网络」，第二件事是不要在门户页面上使用与重要账号相同的密码。
分流规则决定了哪些流量真的进了隧道
客户端里的分流规则（有的界面叫路由规则）决定哪些请求走隧道、哪些直连。默认规则通常把局域网地址和常用境内站点设为直连，这能提高速度，但也意味着这部分流量不受隧道保护。在不确定规则内容时，把模式切到全局更稳妥；回到可信网络后再切回规则模式，按需调整。
解析泄漏是另一件要单独确认的事
域名解析负责把域名换成地址。如果隧道只接管了网页流量，解析请求仍由本地网络处理，就会出现解析泄漏：你访问了哪些域名对本地网络是可见的，返回的地址也可能被改写。判断方法很简单，连接之后打开任意一个解析检测页面，看结果里的解析服务器所属地区是否与所选线路一致。不一致，说明解析没有走隧道，需要在客户端里把解析处理方式改为由隧道接管，或直接启用客户端的「防止泄漏」选项。
各平台客户端的差异
桌面客户端（Windows、macOS）一般提供完整的规则模式与分应用设置，可调项最多。Android 支持按应用选择是否走隧道。iOS 受系统机制限制，规则由配置描述文件决定，可选粒度比桌面端粗，需要更早地决定用全局还是规则模式。Linux 上多为命令行客户端，配置需要手动维护，建议把订阅链接的更新周期记在日历里，避免凭据轮换后忘记重新导入。
哪些信息任何客服都不该向你索要
判断标准只有一条：对方要的东西，是不是定位问题所必需。排障真正需要的信息其实很少，超出这个范围的一律不给。
- ✅ 可以提供：用户名（不是密码）、订单号、问题现象、客户端与系统版本、完整报错文字。
- ✅ 可以提供：截图，但发送前先确认画面里没有订阅链接、二维码或节点信息。
- ❌ 不提供：账号密码。任何情况下，核对线路状态都不需要你的密码。
- ❌ 不提供：订阅链接全文。需要核对配置时，只描述现象，不要粘贴链接。
- ❌ 不提供：支付账户的登录凭据，或付款凭证上的完整卡号。
- ❌ 不提供：身份证件照片。身份核对不属于线路排障的必要环节。
换一个角度看，这条清单也能用来识别冒充者。如果对方主动索要上面标 ❌ 的内容，无论理由说得多充分，都应当先停下来，通过你自己打开的官方入口重新确认对话对象。本服务注册只需用户名和密码，无需邮箱地址，也不要求填写额外资料，这一点本身就可以作为判断依据。
凭据疑似外泄后的处置顺序
发现订阅链接被转发到群里、账号在陌生设备上登录过，或者只是不确定有没有泄露，按下面的顺序处理。顺序不能颠倒，原因写在每一步后面。
- 先在用户面板重置订阅链接。这一步让流出的凭据立即作废，是唯一能马上切断连接权限的操作。
- 再修改账号密码。如果这套用户名与密码在别处也用过，一并改掉。重复使用同一套凭据，会让一次泄露扩散成多次。
- 检查面板里的订单与登录信息。确认没有非本人发起的变更，再决定是否需要进一步处理。
- 在每台设备上删除旧配置，重新导入新订阅。旧配置留在设备里不会自动消失，但它指向的凭据已经作废，留着只会造成反复连接失败。
- 清理曾经导出或转发过的文件。包括聊天记录里的链接、剪贴板内容，以及存过配置的笔记。
把安全承诺换成可核对的事实
新手挑选服务时最容易被打动的，是那些听起来很满、却无法核对的承诺。这类词没有可验证的含义，谁都能写。更有用的做法，是看对方愿意公开哪些可以被核对的事实：覆盖多少国家与地区、有多少条线路、退款期限多长、注册需要提交什么资料、隐私条款里对记录范围怎么表述。
这三项可以直接对照：覆盖范围决定线路选择的余地，线路数量影响高峰期的可用性，退款期限决定试错成本。而与安全直接相关的其实是另外两项——注册环节要不要提交邮箱，隐私条款里怎么描述记录范围。本服务的做法是注册只需用户名和密码，无需邮箱地址；隐私条款中写明不记录浏览内容。这类表述属于策略陈述，可以被核对，也不会被包装成无法核对的保证。
回到开头那张表：账号、订阅链接、客户端配置，各自对应一种权限。把三者的边界记住，新手阶段能避开的坑就覆盖了大半。至于设备数量、线路选择这类使用层面的调整，可以放到后面慢慢做。