Shadowrocket 的加密传输是怎么工作的？原理说明
一句话回答：流量在离开设备前被加密，链路上只传输密文，使中间环节无法直接读取内容；加密保护的是传输过程，不保护端点本身与站点侧的记录。
要点速览
- 加密发生在设备端：数据出门前就已成密文，链路上看到的是乱码。
- 它能防的是链路上的窃听与篡改，不防端点被控、不防站点记录。
- 现代协议普遍采用强加密算法，日常无需手工选择加密参数。
- 真正薄弱的环节往往在端点与账号，而不是加密算法本身。
加密是安全链条里最成熟的一环，也最容易被误解为万能。理解它保护的是哪一段，才能把注意力放在真正薄弱的地方。
保护的是哪一段
加密保护的是设备到节点之间的这一段链路。数据在这段路上以密文形式传输，中间的任何环节即使截获，也无法直接还原内容。
超出这一段，例如目标站点自身如何处理数据、设备本身是否安全，都不在加密的保护范围内。
| 场景 | 是否被保护 | 说明 |
|---|---|---|
| 链路上被窃听 | 能防 | 传输内容为密文 |
| 链路上被篡改 | 能防 | 完整性校验可发现 |
| 目标站点记录 | 不能防 | 站点自有行为 |
| 设备被他人使用 | 不能防 | 端点安全问题 |
| 账号密码泄露 | 不能防 | 凭证层面问题 |
常见误区
误区一：认为加密后做什么都无法追溯。实际上站点侧与网络侧仍可能存在记录，加密不等于不留痕。
误区二：认为需要手工调优加密参数。现代协议默认的算法强度已足够，手工改动反而可能引入配置错误。
- 选择来源可靠、协议现代的客户端，比纠结参数更有意义。
- 保持客户端与系统更新，及时获得安全修复。
- 把注意力放在账号凭证与设备安全上，这两处才是薄弱环节。
日常需要做什么
正常使用即可，不需要额外配置加密选项；需要做的是保持客户端为较新版本，并从正规渠道获取。
在不可信网络环境下使用时，确认连接处于开启状态再访问敏感内容，避免在连接未建立时传输。
获取加密客户端加密相关的高频疑问
加密后会变慢吗？
会有极小的处理开销，现代设备上通常感知不到。相比之下，节点距离与链路质量对速度的影响要大得多。
需要自己选择加密算法吗？
通常不需要。协议默认配置已采用足够强度的算法，手工修改容易出错且收益有限。
加密能防止被网站识别吗？
不能。加密保护传输内容，不隐藏访问行为本身；站点仍能记录来自该连接的访问。