机场点Shadowsocks 还能用吗：2026 年现状、加密方式与适用场景
先回答标题：能用，而且本站 2026-08 测速批次里 17 家机场有 14 家的截图显示测试节点就是 Shadowsocks。 它没有过时，只是从「唯一选择」变成了「默认选择之一」。在专线或优质中转上，SS 的速度和 VLESS、Trojan 没有可感知的差别；它的短板在封锁高峰期的抗识别能力，所以合理做法是把它当日常协议，同时保留一个 TLS 类协议的节点做备份。
原理：简单到极致
Shadowsocks 是一个带加密的 SOCKS5 代理。客户端把目标地址和数据用预共享密钥加密后发给节点，节点解密、访问目标、再加密返回。没有握手、没有协议头伪装，传到网络上就是一串随机字节。
这个设计的好处是实现极简、性能极高、几乎零延迟开销；坏处是「随机字节」本身就是一种特征：正常互联网流量很少有完全随机、没有任何可解析头部的长连接。
加密方式的演进
| 版本 | 代表加密 | 特点 |
|---|---|---|
| 流加密（已淘汰） | aes-256-cfb、rc4-md5 | 无完整性校验，可被篡改和主动探测，不要用 |
| AEAD | aes-256-gcm、chacha20-ietf-poly1305 | 带认证，抗篡改，目前最常见 |
| Shadowsocks 2022 | 2022-blake3-aes-256-gcm | 加时间戳和会话标识，抗重放攻击，需新内核 |
导入订阅后在节点详情里看 cipher 字段，是 gcm 或 poly1305 就是 AEAD。还在用 cfb 或 rc4 的机场可以直接排除。
为什么它更容易被封
主动探测：探测者向节点发送随机数据，老版 SS 会有可区分的响应（AEAD 版本已改善）。被动识别：长时间高熵流量、固定端口、首包长度分布，都能作为特征。所以在封锁高峰期（重大会议、节假日前后），SS 节点往往先于 Trojan、VLESS + Reality 出问题。
缓解方式：机场会给 SS 配插件（obfs、v2ray-plugin 套 WebSocket + TLS），这时它的伪装能力接近 Trojan，但客户端必须支持对应插件。
什么情况下 SS 完全够用
- 机场走专线或优质中转，节点 IP 不是公开的廉价 VPS。专线入口在国内，跨境段不经公网，SS 的「随机流量」特征暴露面很小。
- 非封锁高峰期的日常使用。
- 老设备、老路由器、嵌入式系统，只有 SS 客户端可用。
本站批次里香港 RTT 14–34ms、晚高峰仍有 96–107MB 平均速度的 U1S1，截图协议就是 SS，后台套餐页也写明「全平台 SS 协议」。协议不是瓶颈。
一次 Shadowsocks 连接的过程
以 AEAD 版本为例：
- 客户端用预共享密码和一个随机盐（salt）派生出本次会话的子密钥，先把盐明文发给节点。
- 之后每个数据块都是「加密的长度字段 + 加密的内容」，每块带认证标签，节点能校验是否被篡改。
- 第一个数据块里包含目标地址（SOCKS5 地址格式），节点解密后连接目标，开始双向转发。
- 没有握手、没有应答，连接建立只需要一个往返，这是它延迟低的原因。
- UDP 模式下每个数据报独立加密，节点用 UDP relay 转发。
Shadowsocks 2022 在第 1 步加入了时间戳和会话 ID：盐之后紧跟一个加密的头，内含当前 Unix 时间，节点拒绝时间偏差超过 30 秒的请求，防止探测者重放历史流量。
与相邻协议的对比
| 对比 | Shadowsocks AEAD | Shadowsocks 2022 | VMess | Trojan |
|---|---|---|---|---|
| 握手往返 | 0 | 0 | 0 | 1（TLS） |
| 流量外观 | 随机字节 | 随机字节 | 随机字节 | 标准 TLS |
| 抗重放 | 弱 | 强 | 中 | 强 |
| 抗主动探测 | 中 | 中 | 中 | 强 |
| CPU 开销 | 最低 | 低 | 中 | 中 |
| 需要域名证书 | 否 | 否 | 否（无 TLS 时） | 是 |
| 旧客户端支持 | 全部 | 需新内核 | 全部 | 全部 |
客户端支持矩阵
| 客户端 | SS AEAD | SS 2022 | obfs 插件 | v2ray-plugin |
|---|---|---|---|---|
| Clash Verge Rev（mihomo） | 支持 | 支持 | 支持 | 支持 |
| Clash Meta for Android | 支持 | 支持 | 支持 | 支持 |
| Shadowrocket | 支持 | 支持 | 支持 | 支持 |
| sing-box | 支持 | 支持 | 需配置 | 需配置 |
| v2rayN | 支持 | 支持（新核心） | 部分 | 部分 |
| 老版 Clash Premium | 支持 | 不支持 | 支持 | 支持 |
| 路由器 / OpenWrt 插件 | 支持 | 视版本 | 支持 | 视版本 |
本站 2026-08 测速批次 里 14 家截图显示的 SS 节点都能被上述客户端直接导入，这也是机场把 SS 作为通用订阅默认协议的原因：兼容面最大。
封锁高峰期的实际表现与切换策略
SS 在高峰期的典型症状有两种：
- 节点 IP 被封：延迟测试全部超时，和协议无关，等机场换 IP。
- 特征识别导致的限速或断流：延迟正常、小流量正常、大流量几分钟后断。这是 SS 的弱项，切到 Trojan、VLESS 或带 obfs / v2ray-plugin 的 SS 节点通常能缓解。
切换顺序：同地区其他 SS 节点 → 带插件的 SS 节点 → Trojan / VLESS 节点 → Hysteria2 节点 → 换地区。本站 17 家里品牌资料同时标注 VLESS 的 10 家（名单见 VLESS 文章）都可以这样切；U1S1、全球云的套餐页只写 SS，星岛梦、飞猫云、微风网络、灵猫网络、极连云的协议「未统一提供」，这 7 家要先问客服有没有 SS 之外的协议。
和其他协议的关系
多数机场的做法是：通用订阅默认下发 SS（兼容性最好），Clash 订阅或自研客户端里再提供 VLESS、Trojan。本站 17 家里有 10 家品牌资料标注 VLESS，但截图显示测试用的是 SS，就是这个原因。详见 VLESS 协议是什么 和 机场协议区别。
客户端支持
所有机场客户端都支持 AEAD 版 SS。Shadowsocks 2022 需要较新内核：mihomo（Clash Meta）、sing-box、Xray 新版支持；旧版 Clash Premium 不支持。教程见 Clash Verge、Shadowrocket、v2rayNG。
常见问题
SS 节点比 VLESS 节点慢吗？
同线路下不慢，甚至因为开销更小略快。速度看线路，见 线路类型判断。
机场只提供 SS 节点要不要买？
看线路和运营时长。如果是专线且运营两年以上，SS 没问题；如果是便宜直连，封锁期容易全挂，要有备用。
SS 支持 UDP 吗？
支持（需要节点开启 UDP relay）。游戏场景看 UDP 与 NAT 类型。
什么是 SS 插件？
obfs 把流量伪装成 HTTP 或 TLS，v2ray-plugin 把流量套进 WebSocket + TLS。有插件的 SS 节点在客户端里需要开启对应插件支持，Shadowrocket 和 Clash 都支持 obfs 与 v2ray-plugin。
SS 2022 节点导入失败？
客户端内核太旧。mihomo、sing-box、新版 Shadowrocket 支持；老版 Clash Premium 和部分路由器插件不支持。升级客户端，或让机场提供 AEAD 版节点。
SS 节点测延迟正常但打不开网页？
多半是 DNS 问题或节点被限速。先在客户端开启 DNS 覆写，再切换节点；排查步骤见 机场连不上怎么办。
免费节点大多是 SS，安全吗？
协议本身安全，问题在节点运营者。免费节点来源不明，可能记录流量，见 免费机场能用吗。