risk/security · 集群 A · 隐私与日志 · 1/6

机场服务商能看到你的哪些数据：加密之外的真实可见范围

先给结论：服务商站在中间人位置

机场服务商能看到的，基本就是「一个中间人能看到的东西」：谁、什么时候、从哪里来、到哪里去、传了多少。它看不到的，是被目标网站自身加密保护的内容。

很多人把「协议加密」理解成「服务商什么都看不到」，这是最常见的误区。代理协议的加密，保护的是你的设备到机场服务器之间的链路，防止本地网络或运营商读取内容；到达机场服务器后，隧道被解开，服务商需要知道你要去哪里，才能把请求转发出去。这一步决定了服务商必然掌握目标地址。

本文只讨论技术上「可接触」的范围。某个服务商实际记录了什么、保存多久，属于它的运营行为，本站没有核查过任何品牌，无法给出结论。

按环节拆解：四个位置各看到什么

直接回答：把一次使用拆成注册、连接、转发、出口四个环节，每个环节暴露的信息不同，叠加起来就是服务商的可见范围。

环节1 注册/购买     环节2 连接入口       环节3 中转/转发         环节4 出口访问
邮箱、密码哈希       来源公网 IP          目标域名或 IP          出口 IP 去访问目标站
订单、支付方式       连接时间、设备数     流量大小、时长          HTTP 明文 / HTTPS 密文
      \                   |                    |                     /
       \__________________|____________________|____________________/
                          服务商可以把这些信息按账号串联

关键在最后一列。单独看每一项也许不敏感，但服务商可以用订阅凭证把它们串在同一个账号下，这正是「加密不等于匿名」的含义。

目标地址是怎么被看到的

结论：目标地址通常至少通过三种途径之一暴露给服务商，这是代理转发的工作原理决定的，不是某个品牌的特殊做法。

1. 代理请求本身：客户端把「我要连接某个域名的某个端口」告诉服务端，服务端才能发起连接。
2. TLS 的 SNI 字段：访问 HTTPS 网站时，浏览器在握手阶段会以明文形式发送要访问的域名（部分新特性可以加密这一字段，但并未普及到所有网站）。
3. DNS 查询：如果域名解析也经过代理，服务商可以看到查询记录；如果不经过代理，则是本地运营商看到，这就是 DNS 泄露问题，见 DNS 泄露自查与修复。

所以，「服务商不知道我去了哪」在常规代理架构下并不成立。

HTTPS 与 HTTP 的差别

直接回答：访问 HTTPS 网站时，服务商只能看到域名级别的信息；访问 HTTP 网站时，出口之后的内容是明文，暴露面会扩大到页面内容和表单数据。

现在主流网站大多已默认 HTTPS，但一些老旧站点、内网工具、部分下载链接仍然使用 HTTP。实际建议是：浏览器开启「仅 HTTPS」类选项（主流浏览器设置中通常有），避免在 HTTP 页面登录。

一个容易忽略的前提：你的设备是可信的

结论：以上「看不到 HTTPS 内容」成立的前提，是你的设备上没有被安装来路不明的根证书，也没有运行恶意客户端。

HTTPS 依赖证书信任链。如果某个客户端或安装包在系统里塞入了自签根证书，它就可以对 HTTPS 流量做中间人解密，你在浏览器里看到的「小锁」也可能显示正常。这种情况下，暴露的就不再是元数据，而是全部内容。因此客户端来源的重要性，远高于选择哪种协议，详见 恶意客户端的常见行为与识别方法。

可以定期检查系统证书列表，看是否存在你不认识的根证书；Windows、macOS、Android、iOS 都有对应的证书管理入口。

目标网站那一侧也认识你

直接回答：换了出口 IP 并不会让目标网站不认识你，登录的账号、浏览器 Cookie 和指纹信息依然能识别同一个人。

很多人只关心服务商，却忘了最终访问的网站。你用自己的邮箱登录了某个平台，平台就知道是你；同一个浏览器的 Cookie 和指纹也能把多次访问关联起来。此外，WebRTC 在某些情况下还可能把真实 IP 暴露给网页，见 WebRTC 泄露真实 IP 的原理与防护。

这也提醒我们：使用代理服务访问 AI 或流媒体平台时，平台依然适用其服务条款与支持地区规定，请遵守相关条款，参见 合规与法律专题。

据此调整自己的使用方式

结论：既然无法核实服务商的实际记录，较稳妥的做法是假设「服务商可能知道上述元数据」，并据此做数据最小化。

• 注册时使用专门的邮箱，不要使用与重要账号相同的密码；
• 优先访问 HTTPS 网站，不在 HTTP 页面提交敏感信息；
• 不需要代理的流量（例如境内网站）按规则直连，减少经过服务商的数据量，规则配置可参考 桌面客户端专题；
• 阅读服务商的隐私或日志说明，了解它自己声明了什么，方法见 如何阅读机场的日志政策与隐私条款；
• 不把代理服务用于违法用途，遵守所在地法律法规。

协议层面的加密细节可以继续阅读 代理协议专题。如果你在比较品牌，可以到 机场品牌库 查看各品牌资料标注的协议与客户端类型，需要注意这些字段只能说明技术形态，并不代表数据处理方式已被核实。