拆解洋葱路由的三跳链路模型，说明为何单个节点无法同时掌握来源与目的地，以及流量分析仍可能带来的暴露风险。
链路建立的基本过程
洋葱路由（Onion Routing）的核心思路并不复杂：客户端在本地随机挑选三个中继节点，把数据像洋葱一样逐层加密，每一层只能被对应节点解开。入口节点知道你是谁但不知道你要去哪里，出口节点知道目的地却不知道请求者是谁，中间节点则两头都不清楚。这种「知识分割」是暗网问答相关科普中最常被误解的部分，很多人以为它等于绝对匿名，实际上它只是把信任分散到了多个互不合作的中继上。
client ──[layer1]──> guard ──[layer2]──> middle ──[layer3]──> exit ──> destination
guard : 知道 client_ip, 不知道 destination
middle : 只知道前后两跳
exit : 知道 destination, 不知道 client_ip
为什么出口节点是最危险的一环
出口节点会把加密流量还原成普通请求再发往目标站点。如果目标站点没有启用 HTTPS，出口节点的运营者理论上可以看到明文内容。这也是安全社区反复强调「洋葱链路之上仍需端到端加密」的原因。任何声称「只要用了匿名网络就不必再加密」的说法，都属于典型的安全误导。
图示：traffic-flow · 三跳链路示意（CSS 渐变占位）
流量分析仍然有效
加密可以隐藏内容，但很难完全隐藏时序特征。包大小、发送间隔、连接持续时间这些元数据在长期观测下会形成指纹。学术界的相关论文早已证明，在同时掌握入口与出口观测点的条件下，攻击者可以用相关性分析显著降低匿名度。因此匿名从来不是一次性配置，而是一个持续的行为习惯问题。
- 不要在匿名会话中登录实名账号，身份关联一次就足够破功
- 避免在同一浏览器指纹下混用匿名与日常身份
- 对下载文件保持警惕，文档类载荷常在离线环境触发外联
- 关注官方公告渠道，及时更新客户端版本
匿名系统保护的是「你是谁」与「你在做什么」之间的关联，而不是让你免于自身操作失误。
[locked] 该条目引用的原始材料需自行核验来源，本站不存储也不分发任何加密网络地址。
[idle] 等待指令 ...
WARNING: 请使用洋葱浏览器访问深层链接，注意保护隐私；不要在任何未经签名验证的页面输入凭证或转账。