免费 VPN 实测：281 款里 246 款连追踪服务器，29 款漏流量
NDSS 2026 论文（密歇根大学等）实测 Google Play 上 281 款免费安卓 VPN：
· 246 款连接广告/追踪服务器，76 款上传广告 ID
· 29 款流量漏出隧道，其中 24 款泄露 DNS，合计约 3.6 亿安装
· 61 款有明文传输；5 款明文下发配置文件，可被劫持到攻击者的服务器，披露后仅 2 家回应
· 143 款能被简单识别封锁，其中 96 款却宣称“防封”
存在上述问题的 App 累计安装超 22 亿次。
论文：dx.doi.org/10.14722/ndss.202…
iPhone安全翻墙需要注意的几个事项（大陆用户版）
翻墙最大的风险不在技术，在人。几个习惯，关键时刻能省大麻烦。
一、法律红线（先知道代价）
个人翻墙违法，《计算机信息网络国际联网管理暂行规定》第6、14条，公安可责令停止联网、警告、最高罚15000。执法有选择性，但不是零风险。
真实案例：2026年湖北鄂州，男子用手机+Clash看TikTok和X，警告+罚200+责令停止联网；上海2025年有人被罚3000；南昌有人被罚15000；广东有人一周翻墙487次被盯上。
别在网上晒翻墙截图、发教程，举报和钓鱼都不少。
二、应付检查
1. 关掉刷脸开屏，改密码解锁——手机怼脸上就能开，密码他们拿你没办法。紧急时连按5下侧边键，临时禁用面容ID。
2. 打开"抹掉数据"：输错10次自动抹掉，暴力破解等于自毁。
3. 订阅链接、节点截图、敏感聊天记录，不用就删。
三、基站异常
状态栏冒出没见过的运营商名，或信号满格却上不了网：开飞行模式等几秒再关，强制重新注册，确认是自家运营商再用。伪基站的短信链接一律别点。
四、公共WiFi
1. 能不用就不用，直接用流量。
2. 非连不可：先开VPN再连，别让手机裸奔。
3. 验证页只做联网验证，不输任何个人账号密码。
4. 关掉"自动加入热点"，防钓鱼热点。
5. 公共WiFi上用全局代理，别用分流——整条链路不可信时，所有流量走隧道。
五、Apple ID和账号
1. 共享Apple ID只登App Store，绝不登iCloud，否则可能被远程锁机。
2. 最好自己注册一个外区ID专门下代理App，不和主力混用，开两步验证。
3. 别在免费VPN App里输Apple ID密码；iCloud数据国内由云上贵州运营，敏感内容自己掂量。
六、App与描述文件
1. 只从App Store下（Shadowrocket、Stash、Surge、OTun-M这类），别装来路不明的.mobileconfig描述文件——它能装根证书，理论上可拦截你所有流量；用完去"设置-通用-VPN与设备管理"里删掉残留。
2. 别装一堆VPN/加速器App；免费VPN靠记录和卖数据活，别信"永久免费"。
3. 银行、支付类App别走全局代理，切回直连，省得被风控。
七、防泄露和习惯
1. 连上后去dnsleaktest.com测一次DNS，看是不是运营商的DNS在泄露；iOS没有系统级kill switch，全靠App自身，开它的DNS保护。
2. iCloud Private Relay可能和VPN打架，冲突就关掉。
3. 订阅链接是私密的，别分享、别贴到公开检测站——分享一次就多一份名单。
4. 敏感时期低调点；机场选口碑好的付费的，别贪"无限流量"的便宜货。
安卓手机安全翻墙需要注意的几个是事项（大陆用户版）
先立三个前提：
1、有条件换 iPhone。iOS 封闭，权限管得严，路子干净。
2、非用安卓不可，用原生系统（如 Google Pixel），少用国产手机，尤其华为。国产 ROM 应用市场下架 VPN 类，系统"安全检测"会把应用特征上传服务器，云数据在国内。有条件去香港、越南等地买原生系统版本（全球版），避开国行 ROM。
3、别装"国家反诈中心"App。它的权限比病毒还全，本身就是个监控器。
一、装对软件
做法：只从官网或 GitHub 下载官方 APK；装完先看权限，要通讯录、短信、定位、相机的直接卸载；只用标准协议加开源客户端（WireGuard、Clash、v2rayNG），别用黑盒加速器。
价值：TG、QQ 群里传的"免费加速器"很多本身就是木马。装了带后门的客户端，账号密码、聊天记录全送人，VPN 形同虚设。
二、防断连裸奔
做法：打开"始终开启 VPN"和"封锁未使用 VPN 的连接"（设置里搜 VPN，点应用旁边的齿轮图标）；国产 ROM 把代理 App 锁后台、加白名单、电池设无限制。
价值：VPN 掉线几秒，手机会带着真实 IP 直连境外网站，运营商看得一清二楚。这两个开关把"断线就裸奔"变成"断线就断网"。
注意：Mullvad 发现安卓有底层漏洞，任何 App 都能把流量发到隧道外，哪怕开了防断连开关。彻底修复要等系统级改动，目前无解。
三、防泄露
做法：连上后去 ipleak.net 查 DNS、WebRTC、IPv6；Chrome 系浏览器关不掉 WebRTC；私人 DNS 跟 VPN 冲突就关掉。
价值：DNS 和 WebRTC 漏了，等于人走了 VPN，名片还留在运营商手里——你访问过什么网站，一查 DNS 记录全知道。
四、WiFi 与移动网络
做法：公共 WiFi 先开 VPN 再连，用全局代理，不用分流；连 WiFi 时如果反复要求输密码，立即断开别连，那很可能是双胞胎钓鱼；移动网络下警惕伪基站——现在的伪基站不止 2G，4G/5G 也能冒充，接管你的上网流量植入木马。看一眼手机注册的是不是自己的运营商（状态栏名称或设置里 SIM 卡状态），不对就开飞行模式再关掉，强制重新注册。安卓 12 以上的部分手机还能在设置里关掉 2G，多一层保险，紧急电话不受影响。
价值：双胞胎 WiFi 骗走你的密码，下一步就是中间人看你全部流量；伪基站接管流量后，你打开的网页都可能是假的，木马直接种进来。飞行模式重注册，就是让手机甩掉假基站，回到真基站。
五、账号与习惯
做法：翻墙时别登本名微信、网银、内网；翻墙单独备一个邮箱，加 2FA；免费 VPN 靠卖数据活着；先月付试水防跑路；备两家以上方案。
价值：一个账号串起真实身份和翻墙行为，一查全露。分开用，查到翻墙号也牵不出你本人。
六、防木马
做法：不从 TG、QQ 群、陌生链接装 APK；"允许安装未知应用"只给正在用的那一个 App 开，装完就关；定期查设置里的"设备管理器"和"无障碍"，有不认识的东西就卸；不 Root；手机被别人拿走摆弄过，恢复出厂设置最保险。
价值：手机被种了木马，前面所有措施全白费——人家直接在你屏幕上看，VPN、DNS 一个都防不住。公安检查手机时顺手装东西，是最常见的植入场景。
七、应付检查和代价
做法：关掉指纹和面容，只用密码；最高罚 15000；别晒单。
价值：密码不受"指纹解锁"那套约束，检查时你不开口，谁也进不去。
小米手机被曝上报 App 清单：VPN 藏得住流量，藏不住装了什么
V2EX 热帖《能不能给人留点隐私》（11 月 5 日热榜第 3，140 条回复）：10 月 31 日开发者发帖，朋友的国行小米 14 接到公安电话要求卸载 X 和 Telegram，他拆机称系统组件在上报 App 清单，还有录屏上传代码。
已坐实（小米官方开发者文档，11 月 1 日截图）："设备涉诈检测"进阶版可查 72 小时内行为记录，"即便用户删除通话记录、删除 App，仍然可以检测"；可查字段含装过哪几种 App（视频会议、投资理财、借贷类，卸载后有效期内依然命中）。字段里没有 VPN、翻墙软件、X、Telegram；数据给的是接入服务的合作方，没写给公安。
未核实（开发者单方面说法，AI 辅助反编译）："系统安全组件"上报第三方 App 清单（包名/版本/签名）；录屏约 3 秒一段加密上传，触发条件没讲清；SystemHelper 带 IMEI/IMSI/ICCID，走明文 HTTP 上报联通设备管理平台。警察那通电话的原因无证据，不能和上报连在一起。
另一位研究者 10 月 13 日对 Redmi K90 的独立拆解（据英文分析文转述）：拒掉安全中心隐私政策后反诈仍在运行，记录截图、屏幕共享、已装 App 清单，存本地数据库；小红书、百度、阿里部分 App 被授 XSOF 查询权限。
不只小米：V2EX 楼里有人贴出一加内置用户画像引擎截图；SystemHelper 代码里列出的品牌含 OPPO、vivo、一加、三星等多家（11 月 2 日网友代码截图，未独立核实）。
原文：V2EX v2ex.com/t/1254629 l.meta.ai/?u=https%3A%2F%2Fw… ；
安卓手机安全翻墙需要注意的几个是事项（大陆用户版）
先立三个前提：
1、有条件换 iPhone。iOS 封闭，权限管得严，路子干净。
2、非用安卓不可，用原生系统（如 Google Pixel），少用国产手机，尤其华为。国产 ROM 应用市场下架 VPN 类，系统"安全检测"会把应用特征上传服务器，云数据在国内。有条件去香港、越南等地买原生系统版本（全球版），避开国行 ROM。
3、别装"国家反诈中心"App。它的权限比病毒还全，本身就是个监控器。
一、装对软件
做法：只从官网或 GitHub 下载官方 APK；装完先看权限，要通讯录、短信、定位、相机的直接卸载；只用标准协议加开源客户端（WireGuard、Clash、v2rayNG），别用黑盒加速器。
价值：TG、QQ 群里传的"免费加速器"很多本身就是木马。装了带后门的客户端，账号密码、聊天记录全送人，VPN 形同虚设。
二、防断连裸奔
做法：打开"始终开启 VPN"和"封锁未使用 VPN 的连接"（设置里搜 VPN，点应用旁边的齿轮图标）；国产 ROM 把代理 App 锁后台、加白名单、电池设无限制。
价值：VPN 掉线几秒，手机会带着真实 IP 直连境外网站，运营商看得一清二楚。这两个开关把"断线就裸奔"变成"断线就断网"。
注意：Mullvad 发现安卓有底层漏洞，任何 App 都能把流量发到隧道外，哪怕开了防断连开关。彻底修复要等系统级改动，目前无解。
三、防泄露
做法：连上后去 ipleak.net 查 DNS、WebRTC、IPv6；Chrome 系浏览器关不掉 WebRTC；私人 DNS 跟 VPN 冲突就关掉。
价值：DNS 和 WebRTC 漏了，等于人走了 VPN，名片还留在运营商手里——你访问过什么网站，一查 DNS 记录全知道。
四、WiFi 与移动网络
做法：公共 WiFi 先开 VPN 再连，用全局代理，不用分流；连 WiFi 时如果反复要求输密码，立即断开别连，那很可能是双胞胎钓鱼；移动网络下警惕伪基站——现在的伪基站不止 2G，4G/5G 也能冒充，接管你的上网流量植入木马。看一眼手机注册的是不是自己的运营商（状态栏名称或设置里 SIM 卡状态），不对就开飞行模式再关掉，强制重新注册。安卓 12 以上的部分手机还能在设置里关掉 2G，多一层保险，紧急电话不受影响。
价值：双胞胎 WiFi 骗走你的密码，下一步就是中间人看你全部流量；伪基站接管流量后，你打开的网页都可能是假的，木马直接种进来。飞行模式重注册，就是让手机甩掉假基站，回到真基站。
五、账号与习惯
做法：翻墙时别登本名微信、网银、内网；翻墙单独备一个邮箱，加 2FA；免费 VPN 靠卖数据活着；先月付试水防跑路；备两家以上方案。
价值：一个账号串起真实身份和翻墙行为，一查全露。分开用，查到翻墙号也牵不出你本人。
六、防木马
做法：不从 TG、QQ 群、陌生链接装 APK；"允许安装未知应用"只给正在用的那一个 App 开，装完就关；定期查设置里的"设备管理器"和"无障碍"，有不认识的东西就卸；不 Root；手机被别人拿走摆弄过，恢复出厂设置最保险。
价值：手机被种了木马，前面所有措施全白费——人家直接在你屏幕上看，VPN、DNS 一个都防不住。公安检查手机时顺手装东西，是最常见的植入场景。
七、应付检查和代价
做法：关掉指纹和面容，只用密码；最高罚 15000；别晒单。
价值：密码不受"指纹解锁"那套约束，检查时你不开口，谁也进不去。
应@sqlist221311的要求，我把《小米手机被曝上报 App 清单：VPN 藏得住流量，藏不住装了什么》中长图分成多张截图，方便大家看得更清楚一点
原推文：xitter.cf/antsBTW/status/2118370…
应@sqlist221311的要求，我把《小米手机被曝上报 App 清单：VPN 藏得住流量，藏不住装了什么》中长图分成多张截图，方便大家看得更清楚一点
原推文：xitter.cf/antsBTW/status/2118370…
小米手机被曝上报 App 清单：VPN 藏得住流量，藏不住装了什么
V2EX 热帖《能不能给人留点隐私》（11 月 5 日热榜第 3，140 条回复）：10 月 31 日开发者发帖，朋友的国行小米 14 接到公安电话要求卸载 X 和 Telegram，他拆机称系统组件在上报 App 清单，还有录屏上传代码。
已坐实（小米官方开发者文档，11 月 1 日截图）："设备涉诈检测"进阶版可查 72 小时内行为记录，"即便用户删除通话记录、删除 App，仍然可以检测"；可查字段含装过哪几种 App（视频会议、投资理财、借贷类，卸载后有效期内依然命中）。字段里没有 VPN、翻墙软件、X、Telegram；数据给的是接入服务的合作方，没写给公安。
未核实（开发者单方面说法，AI 辅助反编译）："系统安全组件"上报第三方 App 清单（包名/版本/签名）；录屏约 3 秒一段加密上传，触发条件没讲清；SystemHelper 带 IMEI/IMSI/ICCID，走明文 HTTP 上报联通设备管理平台。警察那通电话的原因无证据，不能和上报连在一起。
另一位研究者 10 月 13 日对 Redmi K90 的独立拆解（据英文分析文转述）：拒掉安全中心隐私政策后反诈仍在运行，记录截图、屏幕共享、已装 App 清单，存本地数据库；小红书、百度、阿里部分 App 被授 XSOF 查询权限。
不只小米：V2EX 楼里有人贴出一加内置用户画像引擎截图；SystemHelper 代码里列出的品牌含 OPPO、vivo、一加、三星等多家（11 月 2 日网友代码截图，未独立核实）。
原文：V2EX v2ex.com/t/1254629 l.meta.ai/?u=https%3A%2F%2Fw… ；
