Shadowrocket 小火箭節點連結格式：ss://、vmess://、vless://、trojan:// 與訂閱連結差異

一、單一分享連結與訂閱網址的差異

單一分享連結描述一筆連線設定，通常包含協定、伺服器位址、連接埠及認證資訊。訂閱網址則是取得設定內容的入口：Shadowrocket 會向該網址發出請求，再將回傳內容解析為一筆或多筆項目。因此，複製一條 ss:// 連結和儲存一個訂閱網址，匯入的內容及後續更新方式並不相同。

不能只憑 https:// 就判定網址是訂閱。一般網頁、帳戶頁面和訂閱入口都可能使用 HTTPS；只有服務商明確提供的訂閱網址，且回應內容可由目前的用戶端解析，才適合透過 Subscribe 匯入。訂閱回應也不一定包含多筆節點，即使只有一筆，仍可保留遠端更新機制。

二、先看懂連結的通用結構

多數 URI 格式的分享連結可拆分為 scheme、認證資訊、主機與連接埠、查詢參數及備註。各協定對這些部分的定義不同，不能把某個協定中的使用者名稱位置直接當成另一個協定的密碼位置。以下以 Trojan 說明結構，密碼和位址皆為虛構資料。

trojan://[email protected]:443?security=tls&sni=example.com#Demo-Trojan

• trojan://：scheme，用來辨識連結格式。
• demo-password：認證密碼；若含特殊字元，需依 URI 規則進行百分比編碼。
• example.com:443：連線位址與連接埠；443 僅為本例設定，並非所有協定都固定使用的連接埠。
• ?security=tls&sni=example.com：查詢參數；欄位能否辨識，取決於匯入格式及用戶端支援情況。
• #Demo-Trojan：備註，通常用來顯示名稱，並非伺服器位址的一部分。

百分比編碼和 Base64 是兩回事。例如，備註中的空格可寫成 %20；Base64 則是將一段位元組轉換為可傳遞的字元文字。兩者都不是憑據加密。分享連結、QR Code 和訂閱 URL 可能直接包含存取憑據，不宜貼到公開留言區，也不要貼入來源不明的線上解碼頁面。

三、ss://：辨識加密方法與編碼範圍

Shadowsocks 常見的 SIP002 分享格式為 ss://userinfo@host:port#remark。對於常見的 AEAD 設定，userinfo 通常是以 URL-safe Base64 編碼的 method:password。以下編碼部分解碼後為 aes-128-gcm:demo-password。

ss://[email protected]:8388#Demo-SS

解碼後的認證欄位：
aes-128-gcm:demo-password

伺服器：example.com
連接埠：8388
加密方法：aes-128-gcm
密碼：demo-password

也可能遇到將 method:password@host:port 整體編碼的舊式連結。這兩種格式都不能用「固定擷取前幾個字元」的方式解析。Base64 文字末尾的 = 填充有時會省略；URL-safe 格式也可能使用 - 和 _，不能只因缺少填充就判定連結已損毀。

• 匯入後請一併核對加密方法和密碼；即使密碼正確，只要加密方法不一致，仍無法建立預期的連線。
• 如果連結含有 plugin 參數，請確認所需外掛及其參數是否受到支援，不能直接刪除後當作等效設定。
• 不要將 Shadowsocks 的加密方法套用到 VLESS 或 Trojan；各協定欄位的意義不同。

四、vmess://：外層 Base64 與內層 JSON

常見的 VMess 分享格式會在 vmess:// 後方放置經 Base64 編碼的 JSON。表面上看不到 @host:port，不代表缺少位址；位址和連接埠是放在 JSON 欄位中。以下僅展示一種常見格式解碼後的內容，並非可直接貼上匯入的完整 URI。

{
  "v": "2",
  "ps": "Demo-VMess",
  "add": "example.com",
  "port": "443",
  "id": "00000000-0000-4000-8000-000000000000",
  "aid": "0",
  "scy": "auto",
  "net": "ws",
  "type": "none",
  "host": "example.com",
  "path": "/demo",
  "tls": "tls",
  "sni": "example.com"
}

此範例中的 add 是連線位址，id 是明顯虛構的 UUID，net 表示 WebSocket 傳輸，path 是 WebSocket 路徑。host 與 sni 可能分別用於 HTTP Host 和 TLS SNI，不一定等同於連線位址。欄位 v 描述這種分享結構，並非 Shadowrocket 的 App 版本號。

• 先確認 Base64 內容完整，再檢查解碼結果是否為有效 JSON；不能只確認「可以解碼」。
• 位址和連接埠相同，不代表設定相同；UUID、傳輸類型、路徑、TLS 和 SNI 都可能影響連線。
• 不要任意增刪 JSON 中的引號或逗號，也不要把通訊軟體產生的換行或中文標點混入原始連結。

五、vless:// 與 trojan://：結構相似，憑據不同

這兩種分享連結常採用可直接閱讀的 URI 結構。VLESS 通常在 @ 前放置 UUID，Trojan 則放置密碼。兩者都可能帶有傳輸和 TLS 參數，但不能只替換前綴，就將一種協定轉換成另一種。

vless://[email protected]:443?encryption=none&security=tls&type=ws&host=example.com&path=%2Fdemo&sni=example.com#Demo-VLESS

trojan://[email protected]:443?security=tls&sni=example.com#Demo-Trojan

VLESS 的 encryption=none 不能解讀為「整個連線沒有 TLS」。它和 security=tls 是不同層次的設定。也不能因為連接埠是 443，就推斷憑證一定有效；憑證、SNI 和實際服務設定必須相符。遇到驗證錯誤時，應檢查現有設定，不應把停用憑證驗證當成一般修復方式。

本文列出的四種前綴並非完整的協定清單。Hysteria2、WireGuard 等協定有各自的參數格式和匯入要求，不能直接套用本文的欄位表。即使是同一種協定，分享格式也可能有所擴充；成功解析成項目只代表匯入完成，不代表所有參數都與伺服器設定相符。

六、在 iPad 和 iPhone 上匯入與更新

Shadowrocket 的 Home 用於查看連線狀態和伺服器項目，Config 用於管理設定檔，Settings 用於調整 App 設定。訂閱 URL 不應當作伺服器網域填寫，也不能只憑副檔名就認定是 Config 檔案。請先確認手上的內容是單一連結、訂閱入口還是完整設定，再選擇對應的匯入方式。

1. 確認 App

   請從 App Store 取得 Shadowrocket，並核對開發者是否為 Shadow Launch Technology Limited。此 App 為一次買斷的閉源商業軟體；買斷用戶端 ≠ 連線服務方案。iPhone、iPad 的系統需求請以 App Store 頁面標示為準。

2. 匯入單一連結

   複製自己持有的完整分享連結，回到 Home；出現剪貼簿匯入提示時，確認內容後再新增。若沒有提示，可點選 Home 右上角的「+」，選擇對應的 Type，依原始設定逐項填寫，不要將整條 URI 填入伺服器位址欄。

3. 新增訂閱

   Home 右上角「+」→ Type → Subscribe，在 URL 欄貼上自己的訂閱網址並儲存。範例網址為 https://example.com/sub?token=xxxx，僅用來說明格式。

4. 檢查更新

   回到 Home，下拉以重新整理訂閱，並確認該訂閱群組是否已載入項目。更新可能新增、移除或修改項目；若有需要保留的手動設定，請先另行記錄再執行更新。

5. 測試連線

   選擇一筆現有項目，連線時依系統提示允許加入 VPN 設定，再使用 Home → Connectivity Test 檢查。同時確認 Home → Global Routing；匯入節點不會讓 Direct 自動變成 Proxy 或 Config。

訂閱主要用來取得及同步項目，不代表已完成完整的規則分流設定。使用 Global Routing → Config 時，也應檢查 Config 中目前使用的設定與目標策略。DOMAIN-SUFFIX、GEOIP、IP-CIDR 和 FINAL 是規則關鍵字，不是節點分享協定；訂閱更新成功，也不能證明規則已依預期比對。

七、分別檢查匯入失敗、更新失敗與連線失敗

請依發生階段逐一排查：儲存前出現格式錯誤，優先檢查連結文字；訂閱請求失敗，檢查訂閱入口與網路路徑；項目已顯示但無法連線，則檢查認證、傳輸和路由。混淆這三個階段，容易反覆修改原本正確的設定。