主题
Trojan 协议为什么能伪装流量：把代理藏进 HTTPS 的思路解析
在代理协议的世界里，隐藏自己有两条路：一条是把流量加密成谁也认不出的随机数据，另一条是把流量装扮成人人都在用的普通业务。Trojan 选择了后者——它让代理流量从头到尾表现得像在访问一个寻常的 HTTPS 网站，外界观察到的是标准的 TLS 连接、真实的域名与有效的证书。在常见代理协议中，它代表了与 Shadowsocks 截然不同的设计哲学。
工作原理
HTTPS 是当今互联网的加密通行标准，网络中大部分流量都是 TLS 加密流量，封锁它的代价极高——这正是 Trojan 的藏身之处。
Trojan 服务器通常监听 443 端口（HTTPS 的标准端口），客户端连接时先完成一次与访问普通网站完全相同的 TLS 握手。握手成功后，客户端在加密通道内出示密码：密码正确，服务器开始转发代理流量；密码错误，或者来访者只是一个普通浏览器、一次主动探测，服务器就把请求交给背后架设的真实网站，返回一个正常网页。换句话说，不知道密码的人无论怎么试探，看到的都只是「一个普通的 HTTPS 站点」，这正是 Trojan 抵御主动探测的关键设计。
这套机制对服务端有两个硬性要求：一个真实的域名，以及由受信任机构签发的有效 TLS 证书。证书不可信或干脆跳过验证，伪装效果会大打折扣，还会引入安全隐患——不过对使用机场服务的用户来说，这些都是服务商要操心的事。
主要特点
- 伪装性：流量特征与正常 HTTPS 访问基本一致，且探测者会被回落到真实网页，识别难度高。相比之下，Shadowsocks 输出的是不模仿任何协议的高熵随机流，两者思路正好相反。
- 加密依托成熟体系：Trojan 自身不设计加密算法，安全性建立在久经考验的 TLS 之上。
- 协议简单：比起 VMess 那套完整的协议栈，Trojan 的结构相当克制，性能开销低，实现不易出错。
适用场景与局限
在代理流量干扰较强的时期，Trojan 节点的存活率往往好于无伪装协议，适合把它作为订阅里的「稳定备胎」甚至首选；对连接稳定性要求高的用户，挑选服务时也可以留意是否提供 Trojan 节点，思路可参考稳定型机场挑选指南。
它的局限同样清晰：伪装不改变物理线路，网速慢、延迟高的问题换成 Trojan 并不会好转，那属于线路层面的话题，可参考网速与丢包问题排查。此外协议本身不含多路复用等高级特性，功能上比新一代协议朴素。
客户端支持情况
Trojan 诞生较早、结构简单，主流客户端基本都已内置支持：Clash/Mihomo 内核支持完善；iOS 的 Shadowrocket 可直接导入，新手可看 Shadowrocket 使用教程；sing-box 与 v2rayN（Xray 内核）同样开箱即用。跨平台兼容性方面，它是目前顾虑较少的协议之一。
常见误区
- 「Trojan 是木马病毒」：名字确实取自「特洛伊木马」的典故，但指的是「藏在正常流量里」的比喻，它是开源代理协议，与恶意软件毫无关系。
- 「会伪装等于加密更强」：Trojan 的安全性来自 TLS，与 Shadowsocks 的 AEAD 加密相比谈不上「更强」，它的长处在于难以被识别，而非密码学上的碾压。
- 「Trojan 节点速度更快」：伪装层不会提升线路质量，同一台服务器上 Trojan 与其他协议的速度差异通常可以忽略。
FAQ
用浏览器直接打开 Trojan 节点的域名会看到什么？ 一个正常的网页。这不是漏洞，恰恰是伪装设计在工作——不持有密码的访问者都会被当作普通网站访客。
Trojan 和 Trojan-Go 是什么关系？ Trojan-Go 是社区用 Go 语言重写的增强实现，补充了多路复用、WebSocket 传输等能力。两个原始项目的更新都已放缓，但协议本身早被各大客户端内核良好支持，日常使用不受影响。
我需要自己准备域名和证书吗？ 使用机场订阅则完全不需要，域名、证书、回落网站都由服务端配置，用户导入节点即可。
客户端提示证书验证失败怎么办？ 多为节点配置或本机时间异常所致，不建议用「跳过证书验证」硬扛——那会削弱这套机制本该提供的安全保障，可先核对系统时间并联系服务商确认节点状态。