机场能看到我的什么：能看到的、看不到的，以及怎么降低暴露
用机场等于把全部海外流量交给一个你不认识的运营者。本文按技术事实讲清机场能看到什么、看不到什么，日志会记录什么，哪些习惯会把本来看不到的信息暴露出去，怎么用 DoH、分流、账号隔离降低暴露面，以及隐私角度选机场时值得看的几个信号。
先建立正确的模型
机场的节点是你和互联网之间的中转站。你的流量在客户端加密后发往节点，节点解开代理层的加密，以自己的身份向目标网站发请求，再把回复原路送回。所以节点处在一个特殊的位置：它是你流量的出口，看到的是「代理层加密被剥掉之后」的东西。
剩下还有没有加密，取决于你访问的网站本身。这就是理解「机场能看到什么」的关键：代理的加密保护你到节点这一段，网站的加密（HTTPS）保护你到网站的全程。
机场能看到的
目标域名：你访问了哪些网站。HTTPS 握手里的 SNI 字段是明文的，域名在那里；即使用 ECH 隐藏了 SNI，代理协议本身就把目标域名告诉了节点，因为节点要替你去连它。所以域名级别的访问记录机场是完整掌握的。
连接时间和频率：什么时候上线、每天几点活跃、访问某个网站的频率。
流量大小：每条连接的上下行字节数。配合时间，能推断你在看视频、下载还是刷网页。
你的来源 IP：你连节点时的公网 IP，也就是你家宽带的 IP。这个 IP 对应运营商和大致城市。机场知道「某个账号总是从某市某运营商连上来」。
账号信息：注册邮箱、付款记录、设备数量、使用的客户端类型（通过 User-Agent 或协议特征）。
HTTP 明文流量的全部内容：如果你访问的是 http:// 而不是 https:// 的网站，页面内容、表单提交、Cookie 都是明文，节点可以完整读取。好消息是今天绝大多数网站已经强制 HTTPS。
DNS 查询：如果解析走代理（Fake-IP 或远程解析），节点看到你查了哪些域名。这和前一条「目标域名」是重复信息，不增加暴露。
机场看不到的
HTTPS 页面内容：你在网站上看了什么、搜了什么、输入了什么、聊天记录、邮件正文、密码，这些在 TLS 里，节点只看到加密后的字节流。
具体 URL 路径：example.com/some/page 里 /some/page 这部分在 HTTPS 里，节点只看到 example.com。
端到端加密应用的内容：Signal、WhatsApp、Telegram 秘密聊天、iMessage 的内容，节点连服务商都看不到，更看不到。
你的真实身份：除非你的注册邮箱、付款信息或访问行为泄露了它。机场知道一个账号的行为，不自动知道账号背后是谁。
这里有个前提：你没有安装机场提供的根证书。一旦装了，机场就可以对 HTTPS 做中间人解密，上面「看不到」的全部变成「看得到」。正规机场从不要求安装证书，要求装证书的机场直接放弃。专属客户端的风险也类似，见 专属客户端安全吗。
哪些习惯会放大暴露
- 用同一个节点登录实名账号又做匿名的事：节点能把两者关联到同一来源 IP、同一时段。
- 用机场的推荐邮箱、常用邮箱注册：把真实身份直接交给机场。
- 开着全局模式：国内网站的访问也经过节点，暴露面从「海外活动」扩大到「全部活动」。
- 让 DNS 走本地又让流量走代理：机场看到流量，本地运营商看到域名，两边都有记录。DNS 泄露的检测与修复见 DNS 泄露是什么。
- 用免费机场和公共节点：运营者的动机不明，流量分析甚至注入广告、恶意脚本的风险远高于付费机场。免费节点的典型风险见 为什么不建议用免费机场。
- 访问 HTTP 明文网站并提交信息：节点能看到全部。
怎么降低暴露
让分流做好：规则模式下国内流量直连，机场只看到你的海外访问。这是最有效也最简单的措施。
加密 DNS 并统一出口：用 Fake-IP 或 DoH，让解析和流量走同一条路，避免两处留痕。
敏感账号不经代理：银行、支付、政务类服务在国内本来就能直接访问，加入直连规则，不要让它们经过节点。
账号隔离：注册机场用一个独立邮箱，付款用对账单不敏感的方式。不要在机场网站和其他服务复用密码。
主备分离：一家机场看到你的全部海外活动，和两家机场各看到一半，画像完整度不同。重度隐私需求的人可以按用途分机场。
在代理之上再加一层：对真正敏感的事，在机场之上用 Tor 浏览器或端到端加密工具，机场只看到你连了 Tor 入口节点，看不到后面。
不装任何机场要求的证书或专属软件，用开源客户端。
机场和 VPN 在隐私上的区别
商业 VPN 公司通常有明确的司法管辖地、公开的隐私政策、有时有第三方审计的「无日志」声明；机场几乎都是匿名经营，政策是口头的，无从验证。但反过来，商业 VPN 要求实名付款、记录更规范，机场则通常只有一个邮箱。两者没有绝对的优劣，取决于你更担心哪一类主体拿到数据。详细对比见 机场与 VPN 的区别。
选机场时的隐私考量
技术上无法验证一家机场是否记录域名日志，但有几个外部信号：
- 运营年限：运营多年、用户基数大的机场，靠卖流量就能赢利，拿用户数据冒险的动机小。新开的、价格远低于成本的机场需要警惕。
- 不要求装证书、不强推专属客户端：允许用任意开源客户端的机场，至少没有做中间人的技术基础。
- 支付方式：支持加密货币或礼品卡的机场，让你可以不留下实名付款记录。
- 官网和面板是 HTTPS：连自己的面板都不加密的机场，谈不上在意用户数据。
- 节点协议现代：还在主推无认证 SS 或老协议的机场，技术维护投入低。
这些信号都不是保证，只是降低概率。最终的原则是：把机场当作一个能看到你全部海外访问域名的陌生人来对待，该用 HTTPS 的用 HTTPS，该直连的直连，该隔离的隔离。在这个前提下，机场带来的隐私风险和你的运营商、你的公共 Wi-Fi 提供者属于同一量级。
常见问题
机场能看到我浏览的网页内容吗？
HTTPS 网站的内容看不到，只能看到你访问了哪个域名、什么时候、多少流量。HTTP 明文网站的内容能完整看到，但现在这类网站已经很少。
机场能看到我的密码吗？
HTTPS 登录的密码看不到。但如果你在明文 HTTP 页面输入密码，或者安装了机场要求的根证书，就能看到。正规机场不会要求装证书。
机场知道我是谁吗？
它知道你的注册邮箱、付款方式留下的信息、每次连接的来源 IP，以及这个 IP 对应的大致地理位置。用匿名邮箱和加密货币付款可以减少关联，但来源 IP 无法隐藏。
机场会记日志吗？
几乎所有机场都记录连接时间、流量用量和来源 IP，这是计费和防滥用需要的。是否记录访问的域名，各家不同且无法验证，应默认它会记。
用机场比用公共 Wi-Fi 更危险吗？
两者暴露的信息相近：运营方都能看到域名和流量模式。区别是公共 Wi-Fi 是临时的，机场是长期的，日积月累能画出更完整的画像。
本文为信息整理与个人经验，不构成购买建议。机场政策与软件界面可能变化，以官方为准。发现过期内容请 联系纠错。