订阅转换是怎么工作的？原理、用途与不容忽视的风险

「订阅转换」是很多人绕不开的一步：服务商只给 v2ray 格式，客户端要 Clash 格式，中间需要一个转换服务。

这篇讲清楚它做了什么、有什么风险、以及怎么少用甚至不用它。

为什么会有这个东西

不同客户端吃不同格式：

格式之间不能直接互换，中间需要转换

订阅转换服务做的事：

关键点在第二步：转换服务完整看到了你的节点信息

风险在哪

具体风险：

第三点最常发生：免费转换服务的稳定性通常不高

另外，转换服务返回的配置里包含规则模板。如果模板来源不可信，理论上可以插入任意规则——比如把某些域名指向特定节点。

什么时候真的需要转换

先确认你是不是真的需要：

很多人不知道服务商本来就有 Clash 格式的链接。去后台仔细找一下，通常在「订阅」页面有多个格式的按钮，或者同一个链接加上 ?flag=clash 参数就能得到 Clash 格式。

真正需要转换的场景：

服务商确实只提供 v2ray base64，且客户端不支持
需要把多个不同格式的订阅合并成一份
想用某套现成的规则模板，但服务商给的配置没有规则

更安全的替代方案

方案一：自己写配置，只用 proxy-provider 拉节点

如果服务商提供 Clash 格式，最干净的做法是：主配置自己写（策略组、规则全部自己控制），节点通过 proxy-providers 拉：

proxy-providers:
  main:
    type: http
    url: "你的订阅链接"
    interval: 3600
    path: ./providers/main.yaml
    header:
      User-Agent: ["clash.meta"]
    health-check:
      enable: true
      url: http://www.gstatic.com/generate_204
      interval: 300

proxy-groups:
  - name: "PROXY"
    type: select
    use: [main]
    proxies: ["AUTO", DIRECT]
  - name: "AUTO"
    type: url-test
    use: [main]
    interval: 300
    tolerance: 50

rules:
  - GEOIP,CN,DIRECT
  - MATCH,PROXY

订阅链接只有你的客户端知道，不经过任何第三方。

详见多订阅管理与合并。

方案二：用客户端的扩展配置

服务商给的 Clash 配置规则太简陋？不用转换，用 Merge 扩展配置在本地补规则：

prepend-rules:
  - RULE-SET,my-proxy,PROXY
  - RULE-SET,my-direct,DIRECT

rule-providers:
  my-proxy:
    type: http
    behavior: domain
    url: "规则集地址"
    path: ./ruleset/proxy.txt
    interval: 86400

规则集是公开的域名列表，不含任何你的私密信息，用第三方托管没有风险。

方案三：自建转换服务

确实需要转换，又不想把节点给别人，可以自己部署一份。常见的开源实现用 Docker 跑起来只要一条命令：

docker run -d --name subconverter \
  --restart always \
  -p 25500:25500 \
  某转换服务镜像

然后转换地址用 http://127.0.0.1:25500/sub?...。

自建的好处：节点信息只在你自己的机器上流转。代价是要维护一个服务。

用公开的第三方转换服务，应该是最后的选择

如果一定要用第三方转换服务

「一次性生成」是关键：让客户端长期请求转换地址，等于让第三方持续掌握你的节点。转换一次拿到 YAML，保存成本地配置，之后自己维护——风险只有一次。

检查转换结果

拿到转换后的配置，至少看这三处：

1. rules 段有没有可疑规则

rules:
  - DOMAIN-SUFFIX,某个陌生域名,某个特定节点   # ← 这种要警惕

正常的规则模板不会把特定域名单独指向某个节点。

2. proxies 段有没有多出来的节点

对照原始订阅的节点数量。多出来的节点是哪来的？

3. rule-providers 的 url 指向哪里

规则集地址应该是公开的规则仓库，不应该是奇怪的域名。

关于「订阅链接 = 凭据」

再强调一次这个概念：

保护订阅链接的重要性，等同于保护账号密码

所以：

不要发到公开群组、论坛、Issue
截图分享客户端界面时，把订阅地址那一栏打码
不要在不信任的设备上导入
怀疑泄露时立刻到服务商后台重置

小结

先确认服务商有没有 Clash 格式的链接——大概率有，那就不需要转换
转换服务能看到你的全部节点凭据，这是它最大的风险
优先用 proxy-provider + 本地配置，订阅链接不经过任何第三方
规则用公开规则集，那些不含私密信息，用第三方托管没问题
必须转换时优先自建，或者至少「一次性生成」而不是长期请求

相关：多订阅管理、Merge 扩展配置。