节点安全吗？机场和中转节点能看到你的什么
节点安全吗？取决于你访问的是什么网站。对 HTTPS 网站，节点运营方能看到你访问了哪个域名、什么时候访问、传了多少数据，但看不到你的密码、聊天内容和具体浏览的页面；对还在用 HTTP 的网站，节点能看到并改动全部内容。
所以「节点安全」这件事的关键不在于节点加密强不强，而在于你怎么用它。这篇把节点能看到什么、看不到什么列成一张表，再讲中转节点和免费节点各自多了哪些风险，最后给两种能自己动手的检查方法。
节点能看到什么，看不到什么
代理节点的工作方式决定了一件事：它必须知道你要去哪里，才能替你连过去。所以不管用什么协议，目标地址对节点都是可见的。能不能看到内容，要看你和目标网站之间有没有 HTTPS 这一层。
| 信息 | 访问 HTTPS 网站 | 访问 HTTP 网站 |
|---|---|---|
| 你的真实 IP、连接时间、流量大小 | 看得到 | 看得到 |
| 访问的域名（比如 google.com） | 看得到 | 看得到 |
| 具体页面地址、搜索关键词 | 看不到 | 看得到 |
| 账号密码、聊天和表单内容 | 看不到 | 看得到 |
| 篡改页面、替换下载的文件 | 做不到，会触发证书错误 | 做得到 |
现在绝大多数网站和 App 都走 HTTPS，所以正常使用时，节点知道的是「你几点访问了哪些网站、用了多少流量」，这份记录本身也算隐私，但跟「密码被偷」是两个级别的问题。
中转节点多了一方
直连节点的路径是：你 → 节点 → 网站。中转节点是：你 → 中转服务器 → 落地服务器 → 网站。
中转服务器通常只做端口转发，它转发的是已经加密的代理协议数据。所以中转这一方能看到你的真实 IP 和流量大小、时间，但看不到你访问了哪个网站，解开协议、知道目标地址的是落地服务器。
| 节点类型 | 能看到你访问哪个网站的 | 能看到你真实 IP 的 |
|---|---|---|
| 直连节点 | 节点运营方 | 节点运营方 |
| 中转节点，中转机归机场自己 | 机场 | 机场 |
| 中转节点，中转线路租用第三方 | 机场 | 机场 + 中转线路提供方 |
所以中转节点安全吗？内容层面和直连节点一样，区别只是可能多一方知道你的 IP 和使用时段。这一方是谁，机场一般不会说。
免费节点的风险在哪
免费节点最大的问题不是「能解密你的 HTTPS」，它做不到。真正的风险是这几种：
- 记录和转卖访问记录：免费服务要有收入来源，你的 IP、访问的域名和时段就是可以拿去卖的东西
- 篡改明文内容：访问 HTTP 网站或者通过 HTTP 下载安装包时，内容可以被替换，比如塞广告，或者把你下载的软件换成带木马的版本
- 诱导安装证书：有些免费节点页面或「专用客户端」会要求你安装一个根证书或描述文件。一旦装了，对方就能解开你的 HTTPS 流量，这是唯一能让节点看到密码的途径
- 来路不明的客户端：节点本身没问题，但配套下载的客户端被改过，这时风险就不在节点层面了
三个常见误区
「节点运营方能看到我所有的密码」
只有两种情况会这样：你登录的是 HTTP 网站，或者你装了对方提供的根证书。其余情况下，密码在你的设备上就已经被 HTTPS 加密，节点拿到的只是加密后的数据。
「用了 VLESS、Trojan 这种加密协议，节点就不知道我在访问什么」
协议加密保护的是你和节点之间那一段，防的是运营商和沿途的网络设备。到了节点，协议就被解开了，否则节点也没法替你连接目标网站。所以加密协议对节点运营方本身不隐藏目标地址。
「中转节点比直连节点更不安全」
内容上两者一样，差别只是可能多一方知道你的 IP。中转的主要目的是改善国内到海外的线路质量，不是安全性上的妥协或者提升。
自己检查节点有没有动手脚
方法一：看浏览器里的证书颁发者。 连上节点后打开一个常用网站，点地址栏左边的锁形图标，查看证书，找「颁发者」。正常应该是 Google Trust Services、Let's Encrypt、DigiCert、Sectigo 这类公开的证书机构。如果颁发者是一个你没听说过的名字，或者浏览器直接报证书错误，就说明流量在中途被人替换了证书。
方法二：用 curl 通过节点访问一次。 把端口换成你客户端的本地代理端口（Clash Verge Rev 默认 7897，v2rayN 默认 10808）：
curl -sv -x socks5h://127.0.0.1:7897 https://www.google.com -o /dev/null 2>&1 | grep -iE "issuer|SSL certificate problem"正常时会输出一行类似 issuer: C=US; O=Google Trust Services; CN=WR2。如果证书被替换且没被你的系统信任，curl 会直接报 SSL certificate problem 并退出。
另外查一下系统里有没有多出陌生的根证书：Windows 按 Win+R 输入 certmgr.msc，看「受信任的根证书颁发机构」；手机在「安全」设置里找「用户证书」或「用户凭据」。用户证书列表通常应该是空的，里面有你不认识的条目就删掉。
按场景判断能不能用
| 你要做的事 | 来路不明的免费节点 | 有稳定运营的付费服务 |
|---|---|---|
| 看新闻、看视频 | 可以 | 可以 |
| 登录常用账号（HTTPS） | 密码安全，但对方知道你用了哪些服务，不建议 | 可以 |
| 下载安装包 | 不建议，HTTP 下载可能被替换 | 可以，最好核对官方给的哈希值 |
| 对方要求安装证书或描述文件 | 任何情况下都不要装 | 正规服务不会要求这个 |
判断一个付费服务是否靠谱，更多要看它的日志政策和运营透明度，这部分在 VPN安全软件安全吗 里有逐项的检查清单。节点之外，DNS 和 WebRTC 泄漏会绕过节点暴露真实 IP，检查方法见 IP泄漏性能测试。
我们这边的情况
说一句对我们不利的实话：作为节点运营方，我们在技术上同样能看到你连接的目标地址、时间和流量大小，流量统计本身也是计费需要的。任何代理服务都是这样，宣称「技术上完全看不到」的说法不成立，能比较的只是记不记、记多久、给不给别人。
我们能做的是减少凭证被别人冒用的风险：每条线路使用独立的身份凭证，不同用户之间互相隔离，线路退订后对应身份会自动摘除，旧的订阅地址随之失效。这也意味着，订阅地址本身就等于凭证，别贴到在线转换网站上，原因在 订阅转换是什么 里讲过。
常见问题
免费节点安全吗？
免费节点解不开你的 HTTPS 流量，但会知道你的 IP 和访问了哪些网站，这些记录可能被拿去卖。HTTP 网站和 HTTP 下载可能被篡改。只要对方要求安装证书或描述文件，就不要再用。
中转节点安全吗？
内容安全性和直连节点一样。中转服务器转发的是加密后的数据，看不到你访问的网站，但能看到你的真实 IP 和使用时段；如果中转线路是租第三方的，就多了一方知道这些信息。
香港节点、日本节点哪个更安全？
安全性取决于节点背后的运营方和你访问的网站是不是 HTTPS，跟节点所在地区关系不大。地区主要影响速度、延迟和能访问哪些地区限定的服务。
SS 节点、Trojan 节点安全吗？
协议决定的是节点能不能被沿途识别和干扰，不决定节点运营方能看到什么。无论哪种协议，节点都能看到目标地址，看不到 HTTPS 里的内容。
节点安全测试怎么做？
连上节点后看浏览器证书的颁发者是不是公开的证书机构，或者用 curl 通过本地代理端口访问一个 HTTPS 网站，看会不会报证书错误。再检查一下系统里有没有多出陌生的根证书。