Reality 是什么，它和普通 TLS 差在哪

一句话结论：Reality 不用自己的证书，而是借用一个真实存在的第三方网站的 TLS 握手特征。 客户端靠预共享的公钥（pbk）来确认服务端身份，所以既不需要域名和证书，也不需要关闭证书校验。

它解决的是什么问题

用 TLS 伪装的代理有个长期困境：

• 用自己的证书，就得有域名、要续期，而且这个域名一旦被标记就废了
• 用自签名证书，客户端必须开 allowInsecure 跳过校验——那等于放弃了身份验证，中间人可以解密你的全部流量
• 更麻烦的是主动探测：观测方可以主动去连你的服务器，看它的 TLS 握手行为像不像一个正常网站。伪装得不像就会暴露

Reality 的思路是：既然要像一个真实网站，那就直接借用一个真实网站的握手。

大致怎么工作

服务端配置里指定一个「借用目标」，通常是某个真实存在、且从你的服务器能正常访问的大站。

• 正常用户连过来（带着正确的公钥）：服务端识别出是自己人，转入代理流程
• 探测者连过来（没有公钥）：服务端把连接原样转发给那个真实网站，探测者看到的就是那个网站的真实证书和真实响应

所以从外部主动探测的角度，你的服务器看起来就是那个网站的一个前置。这是 Reality 相比传统 TLS 伪装的核心优势。

链接里那几个参数是什么

用节点链接解析器解开一条 Reality 链接，通常会看到：

pbk 是这里唯一真正的凭证，它和服务端私钥配对。sid 和 fp 更像是配置项而非密钥。

和普通 TLS 的关键差别

注意最后一行：Reality 的参数容错很低。pbk 错一个字符就连不上，sni 填的域名如果服务端不支持也会失败。所以拿到一条 Reality 链接时，先解开看清参数比直接导入更省事——参数不全的话，客户端往往只报一个笼统的连接失败。

一个常见误解

Reality 不是加密方式，它是 TLS 层的伪装与身份验证方案。真正传输数据的仍然是 VLESS 协议本身。所以你会看到 encryption=none 和 security=reality 同时出现——前者说的是 VLESS 层不额外加密（因为 TLS 层已经加密了），不是「没有加密」。

这一点经常被误读成「Reality 节点是明文的」，并不是。

它不是万能的

• 借用的目标网站如果从你的服务器访问不通，握手会失败
• 借用的目标如果本身被限制访问，伪装反而更显眼
• 客户端必须支持 Reality（mihomo、sing-box 的较新版本支持，老内核不支持）

如果你的客户端报「不支持的 security 类型」，通常就是内核太老。

检查你手上的链接

把 Reality 链接粘进节点链接解析器，它会把 pbk、sid、fp、serviceName 这些参数逐个翻成中文说明，也会指出缺失的必需字段。解析在你的浏览器里完成，链接不会上传。

小结

• Reality 借用真实网站的 TLS 握手，不需要自己的域名和证书
• 客户端靠 pbk（公钥）验证服务端，所以不需要关闭证书校验
• 被主动探测时，服务端把连接转给真实网站，看起来正常
• 参数容错低，导入前先解开看清比事后排查省事