机场能看到我的什么信息：代理服务端可见的元数据

结论：能看到“谁、何时、去哪、多少”，通常看不到加密内容

从技术机制看，机场服务端处在你和目标网站之间，通常能接触到四层信息：账号与付款记录、订阅拉取记录、每条连接的元数据（来源 IP、时间、目标域名或地址、流量大小），以及未加密连接的内容。 对 HTTPS 等加密连接，服务端一般看不到页面内容、输入的文字和密码，但仍能看到你“在什么时间、连到了哪里、传了多少数据”。

这里说的是“技术上能接触到”，不是“一定会记录”。是否记录、保存多久由运营方决定，本站不对任何品牌的实际做法作推断。

四层信息逐一拆开

第 1 层：账号与付款

注册与购买时，你向机场提供了邮箱、可能还有即时通讯账号；付款会留下订单号、金额、时间，以及支付渠道一侧的记录。这一层把“机场账号”和“你是谁”联系起来，联系的紧密程度取决于你用了什么邮箱、什么付款方式。

第 2 层：订阅拉取

客户端每次更新订阅，都会向机场发出一次请求。服务端可以看到发出请求的 IP、时间，以及请求头里常见的客户端类型标识。也就是说，即使不连接任何节点，订阅更新本身就会定期告诉服务端“这个账号此刻在哪个网络”。

第 3 层：连接元数据

这是信息量最大的一层。每当你通过节点访问一个网站，代理协议都需要告诉服务端要连接的目标，因此服务端能接触到：

即使客户端用目标 IP 而不是域名发起连接，加密握手中常见的服务器名称字段一般也能让服务端识别出目标域名。所以较为现实的假设是：访问了哪些网站，在服务端看来大体是清楚的。

DNS 查询在代理中的走向，以及本地网络能看到什么，见 DNS 在代理中起什么作用，DNS 泄露是怎么回事。

第 4 层：内容

内容是否可见，取决于你和目标网站之间是否加密：

这里的“加密”指你与目标网站之间的端到端加密，而不是你与节点之间的代理协议加密。代理协议的加密保护的是你到节点这一段，不影响节点自己能看到什么。协议层面的原理，见 代理协议：VLESS、Trojan 与 Shadowsocks。

什么情况下能看到的会更多

HTTPS 的保护有前提，以下情况会削弱它：

1. 系统里被装了陌生根证书。 持有对应私钥的一方就有条件解密你的 HTTPS 流量。代理客户端若在你不知情时要求安装证书，应当警惕，判断方法见 客户端请求哪些权限需要警惕。
2. 忽略证书警告继续访问。 浏览器提示证书异常时继续点击“继续访问”，等于放弃了加密连接的身份校验。
3. 使用明文协议的应用。 少数应用仍以未加密方式通信，内容会原样经过节点。

把这些信息组合起来意味着什么

还要注意，能接触这些信息的并不只是机场运营方。中转线路上的入口服务器、落地服务器所在的托管商，在各自的位置上同样可能看到部分元数据；链路越长、经手方越多，可见范围越分散。线路结构本身属于网络专题，这里只需记住“经过谁，谁就可能看到”。

单看一条连接的元数据，信息有限；长期积累的元数据则可能勾勒出使用习惯：常在什么时段上网、常访问哪些服务、大致在哪个城市和网络。再与账号层的邮箱、付款记录对应，就能把这些习惯关联到具体的人。这正是隐私讨论关注元数据、而不只关注内容的原因。

由此调整使用方式

明白服务端能接触什么之后，可以按信息层次做相应安排：

机场缺少隐私政策时的具体做法，见 机场有日志吗：隐私政策缺失时如何调整使用方式。本文的总体框架对应一级专题的 隐私与账号安全 一节，更多相关文章见 隐私与账号安全专题页。请在遵守所在地法律法规与平台条款的前提下使用相关服务。