client/subscription · 集群 B · 订阅安全与失效 · 3/6

第三方订阅转换服务有哪些隐私风险：能看到什么、能做什么

提交订阅时对方拿到了什么

使用第三方在线转换，本质上是把订阅令牌交给一个你不认识的服务器，对方拿到的是“能持续使用的凭证”，而不是一次性数据。

最后一行常被忽略。转换后端不只是“读取”，还在“写入”你的配置：它返回什么规则，你的客户端就执行什么规则。转换的完整数据流见 订阅转换是什么。

风险为什么难以评估

第三方转换的风险不在于“一定会出事”，而在于你无法验证对方做了什么，也无法撤回已经交出的令牌。

几个结构性原因：

1. 服务端代码不可见：即使一个转换页面声称使用某开源后端，你也无法确认它实际运行的版本是否被修改。
2. 日志策略不可核实：页面上写“不记录”只是声明，无法验证。
3. 运营者可能变化：一个公开服务可能被转手或停运，域名也可能被他人接管。
4. 令牌长期有效：你提交过的令牌在你重置之前一直可用，暴露窗口不会自动关闭。

因此本站不对任何具体转换服务做“安全”或“不安全”的判断，而是建议从结构上减少暴露。

按暴露程度给转换方式分级

不同转换方式的暴露面差异很大，从“只有自己”到“交给陌生人”可以分为四级。

暴露程度：低 ────────────────────────────────────> 高

[L0] 使用服务商原生链接   不经过任何转换，令牌只在你与服务商之间
[L1] 本机运行转换后端     令牌只在本机，见本地转换文章
[L2] 自己可控的服务器     令牌在你管理的环境中，需自行做好访问控制
[L3] 他人运营的公开服务   令牌交给无法核实的第三方

能用 L0 就不用 L1，能用 L1 就不用 L3。具体如何在本机运行转换，可参考 本地或自建订阅转换。

远程规则与模板的二次风险

即使转换在本地完成，配置中引用的远程规则和模板仍是一个持续的外部依赖，内容由他人决定。

• 规则被修改：远程规则更新后，原本直连的域名可能被改为走代理，或反之，导致分流行为变化。
• 规则失效：远程地址无法访问时，客户端可能加载失败或使用不完整规则。
• 隐私推断：客户端拉取远程规则时，规则托管方可以看到请求来源与频率。

降低方式包括：使用自己维护或经过检查的规则副本；对远程规则设置合理的更新间隔；关注规则变更带来的分流变化。分流原理可参考 网络原理与排障 专题。

已经用过第三方转换怎么办

如果过去用过来源不明的在线转换，补救步骤是“重置令牌、改用可控方式、检查配置”。

如果重置后用量依旧异常，可能是节点认证信息未随令牌更换，请联系服务商客服确认，并参考 订阅链接泄露有哪些表现 的自查方法。

如何评估自己是否需要担心

并不是每个用过在线转换的人都需要恐慌，可以按下面三个问题评估自己的暴露程度，再决定补救力度。

1. 是否还在使用转换链接？
   ├─ 是 → 暴露持续存在，每次更新都会经过对方后端
   └─ 否 → 暴露停留在过去，但旧令牌可能仍有效
2. 是否重置过订阅？
   ├─ 是 → 之前提交的令牌已作废
   └─ 否 → 对方仍可能持有有效令牌
3. 最近用量是否有异常？
   ├─ 是 → 按泄露处理
   └─ 否 → 仍建议重置，作为预防

对大多数人来说，结论都是“重置一次订阅、改用可控方式”，这个动作成本很低，却能彻底关闭过去的暴露窗口。

小结

第三方在线转换的风险在于交出了长期有效的令牌和配置控制权，而对方行为不可验证。优先原生链接，其次本地转换；用过不可控服务后重置订阅；远程规则也要纳入检查。

更多关于服务商可见数据、日志与支付隐私的讨论，可以阅读 安全与隐私 专题；挑选服务时，可在 机场品牌库 查看各品牌是否标注提供自研客户端，减少对转换的依赖。