外观
客户端从哪里下载：来源校验与签名检查
确认一个代理客户端是否安全，只有两种可靠方式：一是它来自项目或品牌的官方发布渠道，二是你核对了它的哈希值或签名与官方公布的一致。前者解决“从哪里拿”，后者解决“拿到的是不是原件”。两者都做到，才能排除文件在传输或转发过程中被替换的可能。
客户端掌握你的全部流量、订阅凭据与系统级网络权限，一个被篡改的客户端可以在协议完全正确、证书校验完全开启的情况下复制你的所有数据，因此来源核验排在所有安全设置之前。
核心结论与适用条件
- 如果你使用开源客户端，那么下载来源只有一个：项目在代码托管平台上的官方发布页。搜索结果、下载站、网盘、群聊转发都不是来源，即使文件名完全相同。
- 如果你使用机场自研客户端，那么来源是品牌官网的下载页，核对的重点是域名与付费时一致、安装包签名者与品牌对应。本站 17 个品牌中 10 个标注提供自研客户端，签名信息全部待核实。
- 如果系统提示安装包未签名或来自未知开发者，这不等于恶意，但意味着系统无法替你验证发布者，你需要自己核对哈希值与来源。
- 如果安装包要求的权限超出了建立隧道、修改系统代理、后台运行这几项，应将其视为拒绝安装的依据，而不是“顺手允许”。
- 如果你已经从不明来源安装过客户端，应卸载并重置订阅链接、修改相关密码，而不是只删除程序。
来源核验是协议安全清单的第一项，其余各项（证书校验、DNS、WebRTC、TLS 指纹）都建立在客户端本身可信的前提上。清单全貌见回到协议与安全专题查看完整的安全检查清单。
为什么客户端是整条链路里权限最高的一环
把代理链路拆开看，每个环节能接触到的信息是不同的。线路运营方看到加密后的流量；品牌服务端看到解密后的目标地址与数据；而客户端在数据加密之前就持有一切：你访问的每一个域名、每一个请求的内容、订阅凭据、节点列表，以及为了接管系统流量而获得的系统级权限。
这意味着客户端的威胁模型与其他环节完全不同。对于线路与服务端，你能做的是选择与监督；对于客户端，你能做的是确保它就是开发者发布的那一份。一个被植入额外逻辑的客户端不需要破解任何协议，它只需要在加密之前把数据抄送一份。证书校验、协议选择、DNS 设置在这种情况下全部失效，因为它们都运行在这个被篡改的程序之内。
这也是为什么“不要为了连上而关闭证书校验”与本文讨论的是两个独立层面：证书校验保护的是客户端与服务端之间的通道，本文保护的是客户端本身。
下载来源的四个信任层级
不同来源的可信程度差异很大。下表把常见来源按可验证程度分层，分层依据是“你能否独立确认文件由发布者本人发布”。
| 指标 | 来源类型 | 可验证什么 | 不能验证什么 | 适用对象 | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|---|
| 一 | 项目官方发布页（代码托管平台） | 发布账号与项目一致；哈希值；部分项目有签名 | 发布账号本身是否被盗（极少见） | 开源客户端 | — | 来源可追溯性 | 通用技术资料 | 2026-10-18 |
| 一 | 平台应用商店（开发者名称核对一致） | 平台签名；开发者身份经平台登记 | 同名仿冒应用需人工区分 | 移动端、部分桌面端 | — | 来源可追溯性 | 通用技术资料 | 2026-10-18 |
| 二 | 品牌官网下载页（域名与付费域名一致） | 域名归属；HTTPS 证书；签名者名称 | 品牌是否在上游被植入恶意逻辑 | 自研客户端 | — | 来源可追溯性 | 通用技术资料 | 2026-10-18 |
| 三 | 官网教程页链接到的第三方托管 | 仅当链接目标为层级一时可验证 | 网盘或陌生域名上的文件无法追溯 | 需跳转回层级一 | — | 来源可追溯性 | 通用技术资料 | 2026-10-18 |
| 四 | 搜索结果、下载站、群聊转发、网盘分享 | 几乎无法验证 | 文件是否原件、发布者是谁 | 不应使用 | — | 来源可追溯性 | 通用技术资料 | 2026-10-18 |
层级一与层级二的差别在于能否由独立第三方验证。开源项目的发布页由代码托管平台托管，发布账号的归属可以通过项目主页交叉确认；品牌官网则完全由品牌控制，你能验证的只是“这个域名确实是品牌的”，无法验证品牌在上游做了什么。这不是说自研客户端一定不可信，而是说它的信任建立在你对品牌主体的信任之上，这一层信任的建立方式见把品牌主体信任纳入隐私边界的考量。
层级四需要特别说明的是“搜索结果”。搜索引擎的广告位与自然结果中都可能出现仿冒站，这些站点通常直接复制官网页面，域名只差一两个字符。从搜索进入下载页后，务必核对地址栏域名与你在付费、登录时使用的域名是否完全一致。
校验的三个层次：来源、完整性、身份
拿到安装包后，可以做三件事，它们分别回答三个不同的问题。
来源校验：这个页面是官方的吗
- 对开源客户端：发布页所属的组织或账号名称是否与项目主页、项目文档中写的一致；项目主页是否反过来链接到这个发布页。
- 对自研客户端：下载页域名是否与品牌后台、公告、客服给出的地址一致；页面是否通过 HTTPS 访问且证书正常。
- 对应用商店：开发者名称是否与项目或品牌公布的一致，而不只是应用名称与图标相似。
完整性校验：文件有没有被改动
哈希校验的原理是对文件全部内容计算一个固定长度的摘要，常用算法为 SHA-256。发布者在发布页公布摘要值，你在本机对下载的文件计算摘要，两者一致说明文件内容与发布时完全相同。系统自带的命令行工具或文件管理器扩展通常都能计算哈希，在客户端项目的文档中一般能找到对应平台的计算方法。
哈希校验的局限是：它只能证明文件与发布页上公布的值一致。如果攻击者同时控制了下载链接与公布哈希值的页面（例如一个完整复制的仿冒站），哈希校验会“通过”但毫无意义。因此哈希校验必须建立在来源校验之上，顺序不能颠倒。
身份校验：文件是谁发布的
数字签名解决了哈希无法解决的问题。发布者用自己的私钥对文件签名，签名与公钥的对应关系由平台（代码签名证书体系、应用商店）或项目公布的公钥保证。签名有效，说明文件来自持有该私钥的人，并且自签名后未被改动。
| 平台类型 | 签名机制的通用形式 | 用户可核对的信息 | 系统提示的含义 | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|
| 桌面系统（通用） | 代码签名证书，由受信任机构签发给开发者 | 签名者名称与项目或品牌是否对应；证书是否有效 | “未知开发者”表示无有效签名或未经平台公证 | — | 机制归纳 | 通用技术资料 | 2026-10-18 |
| 移动系统（通用） | 应用签名密钥，首次安装后更新必须匹配 | 应用商店中的开发者名称；侧载时的签名指纹（如项目公布） | “签名不一致”表示更新包与已安装版本不是同一发布者 | — | 机制归纳 | 通用技术资料 | 2026-10-18 |
| 开源项目附加签名 | 发布者用 GPG 等工具对文件或哈希清单签名 | 项目公布的公钥指纹；签名验证结果 | 无系统提示，需手动验证 | — | 机制归纳 | 通用技术资料 | 2026-10-18 |
| 自研客户端 | 由品牌决定是否签名 | 签名者名称；是否要求关闭系统安全提示 | 待核实：本站所有品牌的签名信息均未知 | — | 机制归纳 | 品牌公开资料/用户提供清单 | 2026-10-18 |
签名校验不是每个用户都会做完的事，但至少应做到一点：当系统提示安装包没有有效签名时，不要习惯性地点“仍然打开”，而是先回到来源与哈希两步确认。一个声称来自正规项目的安装包却没有签名、项目文档又没有解释，这种不一致是比任何单项检查都更有效的警示。
安装后：权限审查与行为核对
安装完成不是终点。代理客户端为了接管系统流量，需要一些较高的权限，这给了篡改版本藏身的空间——用户容易把所有权限请求都归为“代理软件需要”。
合理权限与越界权限
代理客户端完成工作所需的权限集合是有限的：
- 建立隧道：VPN 服务权限或 TUN 虚拟网卡权限，用于接管系统流量。
- 系统代理：修改系统代理设置的权限，用于不走 TUN 模式时的流量引导。
- 后台运行与网络访问：维持连接所需的基本权限。
- 开机自启（可选）：便利性权限，非必需。
超出这个集合的权限请求应逐一审视。通讯录、短信、通话记录、相册、精确位置、无障碍服务、安装未知应用、读取其他应用数据——这些与代理功能无关。单独一项越界权限不一定说明恶意（部分客户端会为了扫码导入订阅申请相机权限，这是有解释的），但没有合理解释的越界权限应作为卸载的依据。TUN 模式为什么需要系统级权限、它与系统代理模式的差异，可以了解 TUN 模式与系统代理在客户端中的实现差异。
行为核对
安装后可以观察几个可见的信号：
- 客户端在未启动代理时是否仍有持续的网络活动。
- 客户端是否在你未操作的情况下修改了系统 DNS、证书存储或其他网络设置。
- 更新提示是否指向官方发布页，而不是弹出一个陌生的下载地址。
其中证书存储一项尤其重要：如果一个客户端向系统安装了额外的根证书，持有该证书私钥的一方就能签发任何“有效”证书，这会让证书校验这道防线失去作用。正规的代理客户端不需要向系统安装根证书。
决策树：按客户端类型确定下载与校验路径
Decision Path
客户端下载与校验路径
text
你要安装的是哪类客户端？
├─ 开源客户端
│ ├─ 平台应用商店有该项目且开发者名称一致？
│ │ ├─ 是 → 从商店安装，核对开发者名称
│ │ └─ 否 → 继续
│ ├─ 找到项目官方发布页（代码托管平台）
│ │ ├─ 发布账号与项目主页一致？
│ │ │ ├─ 否 → 停止，重新定位官方项目
│ │ │ └─ 是 → 下载对应平台安装包
│ │ └─ 发布页公布了哈希值？
│ │ ├─ 是 → 本机计算哈希并比对
│ │ └─ 否 → 仅依赖来源校验，安装后加强权限审查
│ └─ 安装时系统提示无签名？
│ ├─ 项目文档有解释 → 来源与哈希已核对则可继续
│ └─ 无解释 → 暂停，向项目社区确认
├─ 机场自研客户端
│ ├─ 下载页域名与付费、登录域名一致？
│ │ ├─ 否 → 停止，从登录后台重新进入下载页
│ │ └─ 是 → 下载
│ ├─ 安装包签名者与品牌名称对应？
│ │ ├─ 是 → 安装
│ │ └─ 否或无签名 → 向客服确认；要求关闭系统安全提示的不安装
│ └─ 权限请求是否超出代理所需？
│ ├─ 是 → 卸载，并把该品牌记入风险评估
│ └─ 否 → 进入常规安全检查
└─ 来源是搜索结果 / 群聊 / 网盘 / 下载站
└─ 不下载；回到上述两条路径之一知识图谱：客户端来源校验
实体定义
客户端来源校验是在安装代理客户端之前与之后，确认安装包由其声称的发布者发布、内容未被改动、运行时权限符合其功能范围的一组检查。它是设备层面的安全措施，独立于协议、线路与品牌。
相关概念
上游概念：代码签名、哈希摘要、应用商店审核、代码托管平台的发布机制。平行概念：证书校验（保护通道，本文保护端点）、TLS 指纹（握手特征，与客户端实现直接相关）。下游概念：权限模型、系统代理与 TUN 模式、订阅凭据管理。相关风险信号：订阅链接泄露的后果与处理、账号安全的基本措施。
技术参数
用户可自行核对的参数：发布页所属账号或组织名称、安装包哈希值（SHA-256 等）、签名者名称、应用商店开发者名称、安装时请求的权限列表、客户端安装后的系统设置变更。本站不持有任何客户端的哈希值或签名信息；品牌资料中与本主题相关的字段只有客户端方式一项。
适用场景
任何需要安装代理客户端的用户都适用，包括首次安装、更换设备、手动更新三种情形。使用订阅转换服务或接受品牌推送的“必须更换客户端”通知时，同样需要回到官方来源。多设备用户的每一台设备都要独立完成来源核验，不能因为一台设备上的客户端可信就把安装包直接复制到其他设备而不核对——复制过程本身也可能引入改动。
对比依据
本文对来源层级的划分只依据“能否由独立第三方验证发布者身份”这一标准，不依据任何客户端的功能或口碑。客户端维度在横向对比中的位置见了解横向对比中客户端维度的评估口径。
常见问题指向
“自研客户端怎么核对”指向本文信任层级二与品牌关联一节；“系统提示未签名怎么办”指向本文身份校验一节；“装错了怎么补救”指向本文风险提示与常见问题；“客户端连不上是不是来源问题”通常不是，应先走VLESS 节点的常规排错顺序。
品牌关联：自研客户端与第三方导入的来源差异
品牌资料中的“客户端方式”字段决定了你要走哪条校验路径。本站 17 个品牌按该字段可分为三组。
| 分组 | 品牌 | 客户端方式（资料原文） | 来源校验路径 | 签名信息 | 单位 | 统计口径 | 数据来源 | 更新时间 |
|---|---|---|---|---|---|---|---|---|
| 自研+第三方 | 光速云、微风网络、飞猫云、U1S1、光年梯、SOGO云、速界、快狸 | 自研客户端+第三方订阅导入 | 自研走层级二；第三方走层级一 | 待核实 | 个 | 资料原文 | 品牌公开资料/用户提供清单 | 2026-10-18 |
| 自研+第三方 | 极连云、宇宙云 | 自研客户端+第三方客户端 | 自研走层级二；第三方走层级一 | 待核实 | 个 | 资料原文 | 品牌公开资料/用户提供清单 | 2026-10-18 |
| 仅第三方 | 星岛梦、灵猫网络、一翻云、二猫云、全球云 | 支持第三方客户端订阅导入 | 层级一 | 不适用 | 个 | 资料原文 | 品牌公开资料/用户提供清单 | 2026-10-18 |
| 第三方（表述不同） | 唯兔云 | 根据官方订阅格式使用对应客户端 | 层级一 | 不适用 | 个 | 资料原文 | 品牌公开资料/用户提供清单 | 2026-10-18 |
| 第三方（表述不同） | 可信云 | 支持第三方客户端，具体以官方说明为准 | 层级一 | 不适用 | 个 | 资料原文 | 品牌公开资料/用户提供清单 | 2026-10-18 |
对自研客户端用户，一个实用的做法是同时保留一条第三方客户端路径：第三方开源客户端的来源可以独立验证，当你对自研客户端的某次更新存疑时，可以用第三方客户端导入同一订阅继续使用，而不必在“不更新”与“冒险更新”之间二选一。这要求品牌的订阅格式能被第三方客户端识别，10 个提供自研客户端的品牌在资料中都同时标注了第三方导入支持。
所有品牌均为 Vendor Data，本站未下载或检查任何品牌的自研客户端，签名者、权限请求、更新机制全部待核实。品牌详情页中的客户端字段可在品牌库按客户端方式筛选查看；其中提供自研客户端且运营起始年份较早的一例可参考光速云的客户端与协议标注。
Infrastructure Service Snapshot
极连云 /jilianyun
- 入门价格
- 18 元/月
- 价格类型
- 月付 月付价
- 入门流量
- 100GB
- 线路
- IEPL专线
- 协议
- 待核实
- 运营年份
- 2024
- 客户端
- 自研客户端+第三方客户端
- 支付方式
- 支付宝 / 微信 / USDT
优点、限制与风险提示
做好来源校验的优点
- 把设备层面最大的单点风险（被篡改的客户端）排除在外，使后续所有协议与网络层安全设置建立在可信的基础上。
- 校验流程一次学会后可复用于任何软件，不限于代理客户端。
- 对自研客户端保留第三方路径，在品牌更新存疑时有可独立验证的替代方案。
- 权限审查提供了一个与品牌宣传无关的可观察信号，可用于评估品牌对用户设备的态度。
本文方法的限制
- 来源校验只能确认“文件来自发布者”，不能确认“发布者本身可信”。对开源项目，这由社区审查部分补足；对自研客户端，这完全依赖你对品牌主体的判断。
- 哈希与签名校验在不同平台的具体操作方式不同，且会随系统版本变化，本文只说明原理，具体步骤需查阅客户端项目的当前文档。
- 应用商店的审核不能完全排除仿冒应用，开发者名称核对仍然必要。
- 本站未检查任何品牌的自研客户端，无法对任一品牌的客户端安全性作出判断。
风险提示
- 仿冒下载站常通过搜索广告传播，页面与官网几乎一致，域名差异只有一两个字符；从搜索进入的下载页需逐字核对域名。
- “必须关闭系统安全提示才能安装”是高风险信号，正规客户端不需要这样做。
- 已安装可疑客户端的设备上，订阅链接与所有登录过的账号都应视为可能泄露，补救措施不止于卸载。
- 多设备用户倾向于在一台设备上下载后把安装包复制到其他设备，这跳过了来源校验；每台设备应独立从官方来源获取。桌面与移动端的客户端选择差异见查看桌面客户端的选择与设置要点与查看移动客户端的选择与设置要点。
- 客户端来源问题与品牌运营质量存在关联：一个不为自研客户端做签名、或在教程中引导用户去网盘下载的品牌，在其他看不见的环节也可能缺乏规范。选型时如何把这类信号纳入清单，见回到选型框架把客户端来源纳入评估项。
常见问题
为什么客户端的下载来源比协议选择更重要？
因为客户端掌握全部流量与配置。协议只决定数据在线路上的封装方式，而客户端是执行这一切的程序：它能看到你访问的每一个目标地址、持有订阅凭据、通常还拥有系统级的网络权限。一个被篡改的客户端可以在协议完全正确的情况下复制你的全部流量。来源出问题时，后续所有安全设置都失去意义。
哈希值和数字签名有什么区别？
哈希值回答“文件有没有被改动”：对文件内容计算出固定长度的摘要，与发布页公布的值比对，任何一个字节的改动都会导致摘要不同。数字签名回答“文件是谁发布的”：发布者用私钥对文件签名，你用公钥验证，签名有效说明文件来自持有该私钥的人。哈希不能防止攻击者同时替换文件与公布的哈希值，签名可以。
开源客户端应该从哪里下载？
从项目在代码托管平台上的官方发布页下载，并确认发布页所属的组织或账号与项目主页一致。搜索引擎结果、下载站、网盘分享、群聊转发的安装包都不属于官方来源，即使文件名与版本号看起来完全相同。多数项目会在发布页同时公布哈希值，部分项目还提供签名文件。
机场自研客户端怎么核对来源？
自研客户端通常不在公开代码托管平台发布，核对方式是：只从品牌官网的下载页获取，确认当前访问的域名与你付费时使用的域名一致；检查安装包的签名者名称是否与品牌名称或其公司名称对应；注意是否要求关闭系统的安全提示才能安装。本站 17 个品牌中有 10 个标注提供自研客户端，其签名信息均为待核实。
系统提示“来自未知开发者”或“未经验证”是不是说明有问题？
不一定是恶意，但说明安装包没有经过平台认可的签名或公证流程，系统无法替你确认发布者身份。此时需要你自己完成这一步：核对哈希值、确认下载来源可信。如果一个声称来自大型项目或正规公司的安装包反而缺少签名，而官方说明中又没有解释原因，这种不一致本身值得警惕。
代理客户端申请哪些权限是合理的？
建立 VPN 隧道或 TUN 虚拟网卡的权限、修改系统代理设置的权限、后台运行与网络访问权限是代理客户端完成工作所需要的。与之无关的权限，例如读取通讯录、短信、相册、位置、无障碍服务、安装其他应用，超出了代理软件的合理范围，应作为拒绝安装或卸载的依据。
从应用商店下载是不是一定安全？
应用商店提供了平台级签名验证与一定程度的审核，比随意来源可靠得多，但仍需核对开发者名称是否与项目或品牌一致。商店中存在使用相似名称与图标的仿冒应用，安装前对照项目主页或品牌官网给出的开发者信息，是必要的一步。此外部分地区的商店可能不提供某些客户端，此时不应转向不明来源。
更新客户端时需要重复校验吗？
需要，但工作量通常小于首次安装。如果客户端通过内置更新机制升级，更新包的签名应与原安装包一致，多数系统会自动拦截签名不一致的更新；如果你手动下载新版本，应按首次安装的流程重新核对来源与哈希。订阅转换服务或品牌推送的“必须安装新客户端”通知，同样要回到官方渠道确认。
订阅链接指向的下载页能信吗？
订阅链接的作用是分发节点配置，它的来源可信不等于其页面上给出的下载链接可信。品牌官网的教程页通常会链接到客户端的官方发布页，这是正常的；但如果教程页直接提供了一个托管在网盘或陌生域名上的安装包，应回到客户端项目的官方发布页重新获取，而不是直接使用。
怎么判断一个下载页面是官网还是仿冒站？
核对域名是否与付费、登录时使用的域名完全一致，注意拼写差异与多出的字符；看页面是否通过 HTTPS 访问并且证书信息正常；对照品牌在多个渠道（登录后台、公告、客服）给出的下载地址是否一致。仿冒站常通过搜索广告或群聊传播，域名与官网只差一两个字符，页面内容则直接复制。
下载到可疑客户端后已经安装了，该做什么？
立即卸载，然后更换受影响的凭据：订阅链接应在品牌后台重置，品牌账号密码应修改，在该设备上登录过的其他账号也应视情况更换密码或撤销会话。随后用系统或可信安全软件做一次完整检查。订阅链接重置后，所有设备需要重新导入。
Cluster · security
安全与隐私
- TLS 指纹与 uTLS：客户端指纹为何影响连接什么是 TLS 指纹，为什么客户端需要模拟浏览器指纹？
- 代理流量的加密层次：传输加密与端到端加密的区别使用代理后流量在哪些环节是加密的？
- DNS 泄露是什么：检测方法与客户端设置什么是 DNS 泄露，如何检测和避免？
- WebRTC 泄露与浏览器设置WebRTC 泄露是怎么发生的，浏览器怎么设置？
- 跳过证书校验（allowInsecure）的风险为什么不建议开启跳过证书校验？
- 客户端从哪里下载：来源校验与签名检查如何确认下载的代理客户端是安全的？
- 流量特征与识别：协议伪装的原理与边界代理流量为什么可能被识别，伪装能做到什么程度？
下一步
客户端来源确认后，下一项检查是它发出的流量在网络上呈现什么特征——这决定了连接质量为什么会随环境变化，见理解代理流量为什么可能被识别以及伪装的边界。如果你还在确定使用哪个客户端、哪种协议，品牌库中的客户端方式字段可以作为筛选起点。
信息来源与更新日期
- 信息来源：代码签名、哈希摘要、应用分发平台安全机制的通用技术资料；主流开源代理客户端项目的公开发布说明；品牌公开资料/用户提供清单（
data/brands.json）中的客户端方式字段。 - 品牌状态：全部为 Vendor Data；本站未下载、安装或检查任何品牌的自研客户端，签名者、权限、更新机制均为待核实。
- 数据核实日期：2026-10-18。
- 最近更新时间：2026-10-18。