Shadowrocket 分享链接格式科普:ss://、vmess://、vless://、trojan:// 与订阅链接的区别

1. 分享链接与订阅链接：一条连接和一个远程列表

ss://、vmess://、vless://、trojan:// 是分享链接的 scheme，用来提示客户端按哪种格式解析后续字符。一条这样的链接通常描述一条连接：服务器地址、端口、认证资料，以及必要的传输选项。导入时，Shadowrocket 将这些字段保存到本地；链接本身通常没有持续获取远程变更的作用。

订阅链接则通常是一个 https:// 地址。客户端访问该地址后读取服务器返回的连接列表，随后按照支持的格式解析。订阅地址的路径名称没有统一标准，不能仅凭是否含有 /sub 判断用途；普通网页、登录页和订阅响应都可能使用 HTTPS。应以用户已有服务商提供的资料说明和实际返回内容为准。

例如 https://example.com/sub?token=xxxx 只是订阅地址的形态示例。它既不是服务入口，也不能作为实际订阅使用。订阅可能包含多种协议的连接，而不只是同一协议的多个地址；“订阅”描述的是获取与更新方式，不是一种网络传输协议。

2. ss://：核对 Shadowsocks 的加密方法与密码

常见的 Shadowsocks 分享格式把加密方法与密码放在用户信息部分，之后用 @ 接服务器地址与端口。符合 SIP002 形式的链接可对用户信息采用 Base64URL 编码；也能见到较早的、将更多字段整体编码的形式。因此，不能假定所有 ss:// 链接都能直接按一个 @ 拆开。

ss://[email protected]:8388#SS%20Demo

用户信息解码后的教学内容：
aes-128-gcm:password

• aes-128-gcm 是示例加密方法，需要与服务器端配置一致。不能因为名称相近就换成另一个方法。
• password 是教学密码。实际密码应原样保留，包括大小写和特殊字符。
• server.example.com 是教学域名，8388 是示例端口。Shadowsocks 并不要求所有连接都使用此端口。
• #SS%20Demo 是链接片段，通常用于备注；%20 表示空格。备注变化一般不会改变认证内容。
• 如果原始链接包含 plugin 参数，应同时检查相应插件及其选项是否受支持。忽略这些内容可能出现“能导入但不能连接”。

导入后，在 Home 中打开对应条目的编辑页面，核对协议类型、地址、端口、加密方法与密码。若客户端成功创建了条目，只能说明解析过程成功；服务器是否接受该密码、端口是否可达，还需要另外测试。

3. vmess://：先理解编码后的 JSON 字段

常见的 vmess:// 分享链接，在 scheme 后携带一段 Base64 编码的 JSON。编码内容中通常有地址、端口、用户 ID、传输方式与 TLS 等字段。下面展示的是解码后的教学对象，不是可以直接粘贴导入的完整分享链接。

{
  "v": "2",
  "ps": "VMess Demo",
  "add": "server.example.com",
  "port": "443",
  "id": "123e4567-e89b-42d3-a456-426614174000",
  "aid": "0",
  "scy": "auto",
  "net": "ws",
  "type": "none",
  "host": "edge.example.com",
  "path": "/demo",
  "tls": "tls",
  "sni": "edge.example.com"
}

上述字段属于一种常见分享格式，不是所有生成工具都提供完全相同的 JSON。导入后应检查解析结果，而不是只看备注是否出现。如果实际资料要求 WebSocket 与 TLS，导入后却缺少 path 或 TLS 状态不符，应先核对原始链接是否被截断，再向已有服务商确认格式与参数。

4. vless:// 与 trojan://：查询参数也是连接条件

VLESS 与 Trojan 的常见分享形式更接近可直接阅读的 URI：认证资料在 @ 前，地址与端口在后，问号之后携带安全层与传输选项。二者的认证字段并不相同：VLESS 常使用 UUID，Trojan 使用密码，不能只改前缀便把一种协议转换成另一种。

vless://[email protected]:443?encryption=none&security=tls&type=ws&host=edge.example.com&path=%2Fdemo&sni=edge.example.com#VLESS%20Demo

trojan://[email protected]:443?security=tls&type=tcp&sni=edge.example.com#Trojan%20Demo

1. 先核对认证部分。VLESS 示例中的 UUID 与 Trojan 示例中的 demo-password 均为假值；实际导入必须使用原始资料。
2. 再核对 server.example.com:443。端口 443 在这里是具体示例，不能以“通常使用 TLS”为由覆盖服务商给出的其他端口。
3. 检查 security=tls 与 sni。它们影响 TLS 握手及证书核对，不只是显示名称。
4. 检查 type=ws 或 type=tcp。VLESS 示例中的 host 和 path 属于 WebSocket 条件；%2Fdemo 解码后为 /demo。
5. 保留实际链接中的其他必需参数。如果原始资料包含 flow 或其他安全层相关字段，应核对客户端是否正确识别，不要根据这个简化示例删去。

VLESS 示例中的 encryption=none 指 VLESS 本身的加密选项，不表示示例没有 TLS 保护；协议认证、传输方式和 TLS 是不同层次。Trojan 通常依赖 TLS，证书名称与信任状态同样重要。遇到证书错误，应检查地址、SNI 与服务器证书，而不是直接关闭证书验证。

5. 在 Home 导入：选择单条还是订阅

开始前先确认手中的资料属于哪一种。Home 用于管理与选择连接条目，Config 用于配置文件和规则，Settings 用于应用设置。连接列表订阅不是规则配置文件；将订阅地址填进 Config 的配置文件入口，不能替代连接订阅的导入。

1. 从原始资料复制完整链接。不要带上中文引号、句末标点、聊天软件的说明文字或代码围栏。
2. 保存后回到 Home，确认出现的是独立条目还是订阅及其下属条目。仅看到订阅名称，不足以说明列表已成功获取。
3. 打开一条连接的编辑页面，核对类型、地址、端口和认证字段。若涉及 WebSocket 或 TLS，再核对相应选项。
4. 选择需要测试的连接。首次开启连接开关时，按系统提示授权添加 VPN 配置，然后测试目标访问情况。

二维码只是链接的另一种承载方式，并不是一种额外协议。二维码若包含订阅 URL，导入后仍应按订阅处理；若包含单条 ss://，它不会因为扫码导入就获得远程更新能力。iPhone 与 iPad 均应按实际界面核对，系统要求以 App Store 页面标注为准。

6. 更新与排查：先分清获取失败还是连接失败

订阅更新是再次请求远程列表，并不等于更新 Shadowrocket 应用，也不等于刷新 Config 中的规则。远程条目可能被新增、删除或替换；不要假定在订阅条目上做的所有本地修改都能在下一次更新后保留。需要进行对照测试时，先记录修改前的字段与结果。

排查时区分三个阶段：URL 请求是否成功、响应是否能解析、解析后的连接是否可用。例如 HTTP 401 或 403 常提示访问授权问题，但仍需结合服务商的响应说明；收到 HTTP 200 也可能只是返回了登录 HTML 页面。列表出现而网页打不开，则应继续核对连接、Global Routing 和 Config 中的规则，而不是反复重导同一链接。