代理是什么？
从转发原理到常见协议
「代理」是 VPN、机场这些常被统称为「梯子」的工具背后共同的技术底座。这一页不推荐任何产品，只把技术讲清楚：代理如何转发流量、明文代理和加密代理差在哪、它与 VPN 隧道和跨境专线是什么关系，以及一次跨境访问到底经过了什么。
代理是什么，怎么工作
代理（Proxy）的本质是一台替你转发请求的中间服务器：你的设备不直接连接目标网站，而是把请求交给代理服务器，由它代为访问，再把结果回传给你。对目标网站而言，访问者是代理服务器的 IP，而不是你的设备。
这套「中间人转发」的思路本身很普通，到处都在用：企业内网靠它管住出口流量，CDN 和网站侧的「反向代理」靠它分担负载，开发者拿它调试抓包。跨境访问只是多提了两个要求：把流量内容加密（不让中间环节读到），以及让流量特征不显眼（在受限网络里保持可用）。记住这两点，后面的协议差异就好懂了。
与代理相对的是「直连」：设备和目标服务器直接通信，路径最短。代价也很直接：你的出口 IP、访问了什么，沿途网络都看得见；能不能连上，全看本地网络对目标放不放行。
明文代理与加密代理
按「是否加密」可以把代理分成两大类，这也是最容易被混淆、又最影响安全的一条分界线。
两个常见误解，值得单独说。一个是拿「免费代理 IP」当保护：HTTP / SOCKS5 不加密，随手填进浏览器既不保护隐私，也不该用在任何登录场景。另一个是觉得必须挨个搞懂协议：加密代理协议之间的差异（伪装方式、传输层）对普通用户几乎透明，交给客户端按订阅管理就行。
代理、VPN 隧道、跨境专线：技术对照
这三样经常被混着说，其实各管一层。这张表也说明了，为什么本站的对比评测只把同一类工具放在一起比分。
一次跨境访问的完整路径
以「通过加密代理访问一个境外 HTTPS 网站」为例，一次请求依次经过四站。理解每一站发生了什么，大部分「连不上」和「隐私焦虑」都能对号入座。
-
HOP 1 · 你的设备
客户端按分流规则决定这条请求走代理还是直连，并在本地完成加密封装。规则错了，就会出现「该走的没走」。
-
HOP 2 · 本地运营商
看得到你在和某个服务器通信、流量规模与时间，看不到加密内容。晚高峰拥堵与线路波动多发生在这一段。
-
HOP 3 · 代理节点
解开代理层加密，代你访问目标。它能看到你的真实 IP 与目标域名——这正是日志政策重要的原因。
-
HOP 4 · 目标网站
看到的是节点的出口 IP。但只要你登录了账号，网站依然知道你是谁——代理不等于匿名。
每一站「谁能看到什么」，翻墙安全页的隐私边界一节有完整对照表。另外记住一条：HTTPS 是这条链路里内容加密的最后一道保障，浏览器弹出证书警告时，任何情况下都别点忽略。
正当用途与常见风险
代理技术的正当用途其实很日常：企业跨境办公、用海外 SaaS 要靠它，开发者做多地区功能与合规测试要靠它，查学术文献、核对内容在不同地区的展示也要靠它。这些场景有个共同点：用途明确、来源可信、账号与数据受控。
风险几乎全部集中在「来路不明」上：
- 免费公共代理列表：网上流传的「免费翻墙代理」节点不加密、来源不明，常被用于注入广告、劫持流量或收集凭证，任何登录场景都不要使用；
- 权限过大的浏览器「代理插件」：能读取你访问的所有页面内容，装之前先想清楚你在用什么交换；
- 把明文代理当隐私工具：HTTP / SOCKS5 不加密，套上它不等于「上了保护」，该看到的中间人都看得到。
关于代理的常见问题
代理和 VPN 到底有什么区别？
作用层不同。传统 VPN 在系统网络层建立加密隧道，默认接管设备的全部流量；代理通常工作在应用层，按应用或分流规则转发指定流量。科学上网语境里的加密代理（如 Shadowsocks）介于两者之间：有加密，但一般配合规则分流使用，哪些流量走代理由你决定。
SOCKS5 代理是加密的吗？
不是。SOCKS5 只定义了转发方式，本身不加密，HTTP 代理也一样。它们适合内网和开发调试，不能当隐私工具用。跨境访问用的是在这个思路上发展出来的加密代理协议，比如 Shadowsocks、VMess、Trojan。
免费的公共代理能用吗？
别用。维护服务器要花钱，白给你用的公共代理，总要从别的地方把钱挣回来：常见做法是塞广告、劫持流量，狠一点的直接偷账号凭证。只要涉及登录、支付或工作数据，就离它远一点。
机场节点用的是什么协议？
基本都是加密代理协议，常见的有 Shadowsocks、VMess、Trojan、Hysteria。你不用挨个配置，客户端会按订阅链接把节点连同协议一起导进来。挑机场的方法见机场推荐页。
网络加速器和 VPN 是一回事吗？
「网络加速器」是营销称呼，不是一种技术类别。游戏加速器通常是「专线 + 分流」的代理，合规产品只加速游戏流量；跨境访问语境里叫「加速器」的工具，技术上往往就是 VPN 或加密代理换了个名字。判断方法只有一个：看它实际建立什么连接、把哪些流量转发到哪里，而不是看名字。