機場訂閱連結安全嗎？Clash用戶必學的防護與處理方法

訂閱連結不是普通網址

機場服務商提供的訂閱連結，表面上是一串可以貼進 Clash 的網址，實際上通常包含識別帳戶、套餐與流量權限所需的唯一權杖。用戶端只要取得這個網址，就能向服務商請求設定檔，並在有效期內取得節點資訊。因此，訂閱網址應視為機場帳戶的使用憑證之一，而不是可以隨手轉發的公開資料。

訂閱連結外洩不一定會立刻造成帳戶登入失敗。更常見的情況是他人持續使用你的流量額度，導致套餐提前用完、節點同時連線數超過限制，或服務商偵測到異常來源後暫停帳戶。部分服務商還會在訂閱回應中附帶節點密碼、伺服器位址與策略組資訊，這些資料一旦被公開收集，後續處理會比單純更換一個網址更麻煩。

• 不要公開貼上。不要把完整訂閱網址放進論壇、社群聊天記錄、螢幕截圖、教學文章或公開程式碼庫。
• 不要交給陌生轉換站。線上格式轉換服務通常需要先讀取原始訂閱，服務端可能因此看到你的權杖與全部節點資料。
• 不要使用瀏覽器同步保存。瀏覽器歷史紀錄、同步帳戶、剪貼簿管理工具與雲端備忘錄，都可能讓訂閱連結出現在其他裝置上。
• 不要把訂閱當成節點分享。即使只想分享其中一個節點，也不應直接分享原始訂閱；應先在本機建立不含帳戶權杖的獨立設定。

安全保存與匯入訂閱

安全處理訂閱的重點是縮短明文存在於剪貼簿與聊天工具中的時間，並確認連結確實來自服務商的帳戶後台。不要依賴別人轉傳的訂閱網址，也不要為了方便而把連結交給不清楚資料處理方式的轉換網站。

1. 登入服務商的官方帳戶後台，確認套餐名稱、到期時間、剩餘流量與裝置數限制，再複製訂閱連結。
2. 直接在 Clash Verge、Clash Verge Rev、Mihomo 相關用戶端的「設定檔」或「Profiles」頁面新增遠端設定檔，不要先貼到聊天軟體或線上筆記。
3. 匯入完成後，刪除系統剪貼簿中的原始內容；如果使用剪貼簿歷史功能，也要一併清理對應項目。
4. 為設定檔取一個不包含帳戶名稱、套餐名稱或完整網址的本機名稱，例如「主要設定」或「家用線路」。
5. 確認遠端設定檔的更新週期合理。更新太頻繁會增加服務端請求次數，也可能觸發服務商的異常請求限制。

若用戶端提供「匯出設定檔」功能，匯出前應先檢查檔案內容。設定檔可能包含節點密碼、proxy-providers 遠端網址、external-controller 控制介面與其他私人欄位。這類檔案不應直接寄給他人，也不應放在公開雲端資料夾。需要協助排查時，只提供錯誤訊息、核心版本與已遮蔽的設定片段。

proxy-providers:
  airport:
    type: http
    url: https://subscription.invalid/token-REDACTED
    interval: 86400
    path: ./profiles/airport.yaml
    health-check:
      enable: true
      url: https://cp.cloudflare.invalid/generate_204
      interval: 300

上例中的 url 就是需要遮蔽的敏感欄位；示範網址使用無效網域與假值，不能直接拿來連線。分享設定時可以保留欄位結構，但應把整個權杖替換成 token-REDACTED，並確認文字編輯器的自動備份、雲端同步與版本紀錄沒有保存原始內容。

哪些做法風險最高

所有匯入方式都不會讓訂閱本身變得安全，差異只在於有多少額外系統或第三方服務能看到它。下表可用來快速判斷日常操作是否值得調整。

線上轉換服務還有另一個問題：它可能把原始訂閱轉成新的遠端網址。即使轉換站宣稱不保存資料，後續用戶端仍要定期向該站請求更新，這會增加一個新的信任環節與故障點。若只是因為目前用戶端不支援某種欄位，應先確認是否能改用支援 mihomo 核心的用戶端，而不是把訂閱交給未知服務。

動手設定：建立較安全的使用流程

以下流程適合 Windows、macOS 與安卓上的 Clash Verge Rev 或 Mihomo 用戶端。不同版本的按鈕名稱可能略有差異，但判斷原則相同：訂閱在可信任的本機用戶端內使用，代理服務只暴露必要的本機連接埠。

1. 先確認核心。在用戶端的「關於」或「核心」頁面確認使用的是 mihomo；若設定使用 proxy-providers、TUN 或較新的協定，原版 Clash 可能無法完整解析。
2. 限制區域網路存取。設定檔中將 allow-lan 設為 false，除非確實需要讓其他裝置使用本機代理。這能避免同一 Wi-Fi 下的裝置直接連到你的混合連接埠。
3. 保護控制介面。若不需要外部控制，移除或關閉 external-controller；若必須啟用，應設定足夠複雜的 secret，並只監聽本機位址。
4. 選擇規則模式。日常使用採用 rule 模式，避免所有流量長時間經過節點。這不能防止訂閱外洩，但可以減少不必要的流量消耗與異常用量。
5. 更新後檢查流量。每次手動更新訂閱後，到服務商後台查看最後更新時間與流量變化。若沒有主動更新卻出現大量請求，立即暫停舊訂閱並進行重設。

mixed-port: 7890
allow-lan: false
mode: rule
external-controller: 127.0.0.1:9090
secret: "change-this-to-a-long-random-value"

mixed-port 是 HTTP 與 SOCKS5 共用的本機連接埠，常見值為 7890，但實際使用時應以設定檔為準。allow-lan: false 只限制區域網路進入，不會阻止本機應用程式使用代理；external-controller 則是控制 API，不等同於代理連接埠。不要把控制介面綁定到 0.0.0.0 後再以為 secret 可以取代網路層的限制。

使用 TUN 模式時，權限範圍更大，應只在確認設定檔來源可信、核心版本正常、DNS 與分流規則可控後啟用。TUN 會接管更多系統流量，訂閱本身不會因此變安全；它解決的是應用程式繞過系統代理的問題，不是帳戶權杖管理問題。

連結外洩後的處理順序

一旦懷疑訂閱被他人取得，應把它當成已失效的憑證處理。不要先花時間更改本機策略組、重新測試所有節點，因為這些動作無法讓舊權杖失效。先切斷舊連結的使用權，再整理本機設定。

1. 在 Clash 中停用或刪除舊的遠端設定檔，暫時關閉自動更新，避免用戶端繼續請求舊網址。
2. 登入服務商帳戶後台，執行「重設訂閱」「撤銷連結」或相近功能。若後台沒有此選項，聯絡服務商要求使舊連結失效。
3. 查看流量、連線數、最後更新時間與裝置紀錄，記下異常發生的時間段，方便判斷是否已被使用。
4. 取得新訂閱後，只在可信任的用戶端中匯入；不要沿用舊設定檔內的 proxy-providers 網址，避免刪除表面設定後仍保留舊權杖。
5. 清理剪貼簿、下載資料夾、文字編輯器備份、雲端同步目錄與聊天附件，並檢查是否有自動備份保存舊檔案。
6. 如果同一個權杖曾與帳戶密碼、API 金鑰或其他服務資料一起公開，立即分別更換，不要只重設訂閱網址。

流量異常與訂閱失效的判斷

流量突然增加不一定代表訂閱外洩，也可能是開啟全域模式、影片自動播放、系統更新、雲端同步或多台裝置同時使用造成。排查時要把本機用量與服務商後台紀錄交叉比對，而不是只看 Clash 的即時速度。

• 本機有大量連線，後台用量同步增加：先檢查是否誤開全域模式、TUN 或大型下載，再查看節點健康檢查週期是否過短。
• 本機幾乎沒有使用，後台卻持續扣流量：高度懷疑訂閱連結外洩，應立即停用舊連結並重新產生。
• 更新回應為 401 或 403：可能是權杖失效、帳戶被停權、訂閱到期或服務商限制來源，重新複製網址前先查看帳戶狀態。
• 回應為 404：遠端訂閱路徑可能已被撤銷或服務商更換格式，不要反覆重試舊網址，直接向帳戶後台取得最新連結。
• 回應成功但節點數量變成零：可能是套餐到期、服務端暫時異常、核心格式不相容，先把回應內容保存為本機私有檔案，再檢查核心錯誤記錄。
• 匯入後節點能用但流量異常：檢查是否使用了他人修改過的設定檔，尤其注意陌生的遠端規則集、外部控制器與額外的代理提供者。

更新訂閱時可以在用戶端的日誌頁查看 HTTP 狀態碼，但不要把包含完整請求網址的日誌直接公開。部分日誌會把查詢參數原樣印出；分享之前，應搜尋 token、sub、key、authorization 等字樣並完整遮蔽其值。

長期使用檢查清單

訂閱安全不是一次匯入時的單一動作，而是帳戶、裝置、用戶端與網路環境共同維持的流程。每隔一段時間做一次簡單檢查，可以在流量用完或帳戶被停權前發現問題。

• 每月查看一次服務商後台的流量、登入紀錄與訂閱更新紀錄。
• 不在公共電腦、共享瀏覽器或他人的 Clash 設定中保存自己的訂閱。
• 為作業系統設定螢幕鎖定，Windows 與 macOS 優先啟用裝置加密，安卓則避免讓未受信任的應用程式讀取檔案。
• 只保留正在使用的遠端設定檔，刪除重複、過期與來源不明的設定檔。
• 不把 external-controller、訂閱網址與節點密碼放在同一份公開排查資料中。
• 更換裝置、出售電腦或重灌系統前，先撤銷舊訂閱並清除本機設定、備份與同步資料。

如果需要重新整理用戶端與核心的安裝方式，可以先查看前往下載，再依照查看教程完成設定。最重要的原則始終不變：把訂閱網址當成密碼處理，只在可信任的用戶端內使用，發現異常就先撤銷、後排查。