如果你用过 VLESS，几乎一定听过 REALITY 这个名字。这几年 VLESS + REALITY + Vision 的组合几乎成了自建节点的标配，但很多人只知道"配上更稳"，并不清楚它到底在干什么。今天用问答的方式，把 REALITY 一次讲透。
Q1：REALITY 到底是什么？
REALITY 是 V2Ray 系（Xray-core）推出的一种传输层安全方案，目标只有一个：让你的代理流量在外人看来和访问某个真实网站一模一样。它不依赖你自己申请的域名证书，而是直接"借用"一个真实存在的目标网站的 TLS 指纹。
Q2：它和普通 TLS 有什么区别？
普通 TLS 需要你有一个域名、申请证书、部署在服务器上。审查者虽然看不到内容，但能看到"这台服务器在对外提供 TLS 服务"，而且证书信息、握手特征都可能成为识别线索。REALITY 则反其道而行之：服务器上压根不配置 TLS 证书，对外表现得像个"没有开 HTTPS 的普通网站"。当审查者主动探测时，服务器会把流量原样转发给借用的目标站，返回的结果和访问那个真实网站毫无二致。
Q3：“steal oneself"是什么意思？
这是 REALITY 配置里的核心概念，字面意思是"偷自己”。它的含义是：服务器借用一个和自己"气质相近"的真实网站作为伪装目标——比如你的服务器在美国，就借用一个同样在美国、同样用主流 CDN 或云厂商的网站。审查者看到的 SNI、证书链、握手行为，全都是那个真实网站的，找不出破绽。
Q4：REALITY 的安全性来自哪里？
主要来自三点：
- 无证书部署：服务器本身不持有任何 TLS 证书，主动探测拿不到任何代理特征。
- 指纹完全真实：借用的就是真实网站的握手，不存在"仿得像不像"的问题。
- 密钥前向保密：即使长期密钥泄露，历史流量也无法被解密。
Q5：哪些人适合用 REALITY？
- 自建节点、想长期稳定使用的用户，它是目前综合体验最好的方案之一。
- 对隐蔽性要求高的场景，比如网络环境审查较严的地区。
- 已经熟悉 VLESS，想把手里的节点升级一下的老玩家。
Q6：它有什么缺点？
- 配置门槛比普通节点高，需要理解 SNI、指纹、目标站选择这些概念。
- 客户端支持有限，主流客户端里 sing-box、v2rayNG、NekoRay、Shadowrocket 等支持较好，老旧客户端可能不支持。
- 借用的目标站如果挂了或者换了指纹，需要及时更换，否则连不上。
顺带一提，REALITY 经常和 Vision 流控一起出现。Vision 的作用是减少 TLS 指纹中的可识别特征，让流量看起来更像正常的浏览器访问。两者搭配，一个负责"借壳"，一个负责"整容"，这也是 VLESS + REALITY + Vision 成为自建标配的原因。
Q7：自建 REALITY 节点要注意什么？
如果你打算自己搭，记住三个要点。第一，目标站要选"气质相近"的：服务器在哪国，就借用哪国的大站，CDN 和云厂商最好也对得上，审查者做关联分析时才不会起疑。第二，目标站要稳定：选那种十年不倒的大网站，别选今天能上、明天就关的小站，否则指纹一变你就断连。第三，密钥保管好：REALITY 的私钥泄露意味着伪装失效，定期轮换是个好习惯。
Q8：REALITY 会被针对性识别吗？
实话实说：没有永远无敌的伪装。REALITY 的强项在于"借用的指纹本身就是真的"，审查者想区分，就必须承担误伤真实网站的代价。这种"让对方投鼠忌器"的设计思路，正是它这几年长盛不衰的原因。但也别因此掉以轻心，客户端保持更新、节点信息不公开分享，这些基本功永远不过时。
一句话总结：REALITY 不是一种新协议，而是一种"让审查者无从下手"的伪装术。它配 VLESS 是天作之合，但前提是你的客户端得跟上。如果你用的客户端还停留在只支持 VMess 的年代，可以先看看这篇 Hysteria2 与 VLESS 的对比，再决定升级路线；客户端选型方面，sing-box 和 Clash 的区别 这篇也值得一看。