client/subscription · 集群 B · 订阅安全与失效 · 5/6

订阅更新失败怎么排查：按请求、鉴权、解析三层定位原因

先判断问题出在哪一层

订阅更新失败几乎都能归入“请求、鉴权、解析”三层之一，定位层级比逐个尝试修复方法高效得多。

这三层对应订阅链路中的“请求、鉴权、生成与解析”环节，原理见 机场订阅链接是怎么工作的。

排查流程图

照着流程图从上往下走，每一步只回答一个问题。

订阅更新失败
 │
 ├─ Step 0：手动点一次"更新"，看具体报错文字
 │
 ├─ Step 1：用浏览器打开订阅链接
 │    ├─ 打不开（超时 / 证书错误 / 无法访问）──> 请求层
 │    ├─ 打开显示错误页或"无效"字样 ─────────> 鉴权层
 │    └─ 打开显示正常配置文本 ──────────────> 解析层
 │
 ├─ 请求层
 │    ├─ 检查系统时间是否准确
 │    ├─ 切换"订阅更新走代理 / 直连"再试
 │    ├─ 换一个网络（如手机热点）再试
 │    └─ 登录后台确认订阅域名是否已变更
 │
 ├─ 鉴权层
 │    ├─ 是否重置过订阅？→ 替换为新链接
 │    ├─ 套餐是否到期 / 流量是否用尽？→ 后台确认
 │    └─ 账号是否被限制？→ 联系客服
 │
 └─ 解析层
      ├─ 返回格式是否与客户端匹配？→ 换专用链接
      ├─ 客户端 / 内核是否过旧？→ 升级
      └─ 是否经过转换？→ 检查转换后端

请求层：订阅域名连不上

请求层问题的特征是“请求根本没拿到响应”，排查重点是时间、网络路径与域名。

1. 系统时间：时间偏差会导致 HTTPS 证书校验失败，报错中常出现证书、TLS 等字样。校准系统时间后重试。
2. 请求路径：很多客户端允许设置订阅更新是否通过代理。订阅域名在直连下不可达时，可以尝试走代理更新；反之，当前节点全部失效时，走代理更新就会失败，此时应改为直连。
3. 网络环境：公司或校园网络可能拦截某些域名，换用移动网络可以快速验证。
4. 域名变更：服务商可能更换订阅域名，通常会在官网或公告中通知。登录后台复制最新链接即可。

DNS 层面的问题可参考 网络原理与排障 专题；更通用的连接故障排查可参考 故障排查 专题。

鉴权层：服务端拒绝了请求

鉴权层问题的特征是“服务端有响应，但内容是错误或空”，排查重点是令牌与账号状态。

请求过于频繁的问题与更新间隔设置有关，可参考 订阅更新间隔怎么设置。

解析层：内容到了但读不懂

解析层问题的特征是“浏览器里能看到正常文本，客户端却报错”，排查重点是格式与版本匹配。

• 格式不匹配：Clash 系客户端拿到了 Base64，或通用客户端拿到了 YAML。使用服务商提供的对应客户端链接。
• 内核过旧：报错中出现“不支持的类型”等字样，通常是内核不认识较新的协议，升级客户端或切换内核。
• 转换环节出错：如果使用了转换链接，先直接用原订阅测试；原订阅正常则问题在转换后端。
• 配置覆写冲突：本地覆写或合并脚本引用了不存在的分组名，也会导致加载失败。

格式识别方法见 Clash YAML、Base64 与 sing-box 订阅格式有什么区别。如果更新成功但节点为空或全部超时，请转到 订阅导入后节点为空或全部超时怎么办。

不同设备上的排查差异

同样是更新失败，在桌面、移动端和路由器上的排查侧重点略有不同，主要差在“能看到多少日志”和“请求从哪里发出”。

一个实用技巧是：如果某台设备更新失败而另一台正常，说明订阅本身没问题，应把注意力放在出问题的那台设备的网络、时间与客户端设置上。移动端设置可参考 移动客户端 专题。

小结

更新失败先用浏览器打开订阅链接分层：打不开是请求层，打开是错误是鉴权层，打开正常是解析层。各层对应的处理方向不同，不要一上来就重装客户端或重置订阅。

如果长期频繁遇到订阅域名不可达、客服长时间无响应等情况，可以结合 机场跑路风险 专题中的运营信号观察方法综合判断；更换服务商前可在 机场品牌库 对照资料。