如果你在問 SOCKS 代理是甚麼，一句話解釋就是：它是一種通用流量轉發代理，毋須把 App 流量解讀為 HTTP 請求，常見版本是 SOCKS5 代理。 RFC 1928 對 SOCKS5 的描述，本質上就是在客戶端和外部伺服器之間提供中繼能力。［1］

很多人會因為 SOCKS 代理能改變出口 IP，就直接把它當成「輕量版 VPN」。這並不準確。SOCKS 更像負責轉發路徑的中間層，它不天然等於「整部裝置統一加密、統一保護」。如果這一點沒有先分清，後面很容易高估它。［1］

你可以把這篇數碼私隱保護指南作為更完整的排查清單，順手檢查帳戶、裝置、識別碼和資料經紀人暴露面。

關鍵要點

SOCKS 代理是一種更通用的代理方式，常見於 SOCKS5。［1］

SOCKS 可中繼不同 App 協議，實際涵蓋範圍視乎客戶端與代理實作。［1］

它的核心價值是轉發，不是自動等於完整私隱保護。

SOCKS 代理和 VPN 都可能改變出口地址，但保護範圍與加密語義並不一樣。［1］

來源不明的免費 SOCKS 代理風險很高，不適合敏感流量。

SOCKS 代理是甚麼？它是怎樣工作的

可以把它理解成一個中間人：

你的應用先把請求發給 SOCKS 代理；
代理再幫你和目標伺服器建立連線；
回應再經由代理回到你的裝置。［1］

目標伺服器看到的，通常是代理的出口，而不是你目前的原始出口地址。

SOCKS4 和 SOCKS5 有甚麼分別？

版本決定協議能表達哪些請求，App 與代理仍須實作相同功能。只看到 SOCKS5 標籤，不能證明某個客戶端會轉送 UDP 或讓代理解析域名。［1］

版本	目的地地址處理	轉送限制
SOCKS4	IPv4；普通 SOCKS4 需要客戶端先解析域名	TCP 轉送，不具備 SOCKS5 的 UDP 支援
SOCKS4a	允許提交目的地域名的擴展	兩端均支援該擴展時由代理解析［3］
SOCKS5	IPv4、IPv6 或域名	TCP 請求與 UDP ASSOCIATE，視乎實際實作支援［1］

SOCKS5 在轉送請求前協商認證方式，支援的方式包括毋須認證和用戶名稱密碼認證；伺服器從客戶端提供的方式中選擇一種，或拒絕連線。並非每個 SOCKS5 端點都要求憑證。RFC 1929 的用戶名稱密碼交換沒有加密密碼，因此出現密碼輸入框不代表連接代理的鏈路保密。［1］［2］

DNS 路徑視乎 App 提交甚麼。如果 App 先解析域名再提交 IP，這次查詢已發生在代理的域名解析路徑之外；提交域名時則可由代理解析。以 curl 為例，--socks5 在本機解析，--socks5-hostname 把解析交給代理。這是該客戶端的明確選項，不代表其它 App 行為相同。［3］兩種方式均不能證明裝置上無關的 DNS 請求也經過此代理。

UDP 須獨立核對。SOCKS5 定義 UDP ASSOCIATE 與中繼地址，關聯依賴一條 TCP 控制連線，控制連線結束時關聯亦結束。App 和代理均須支援這個過程，網絡亦須允許存取中繼。因此 TCP 下載成功，不能證明遊戲、通話、QUIC 或其它 UDP 流量已經代理。［1］

更改你擁有的客戶端前，先留下簡短設定記錄：

記錄代理版本、地址、連接埠與認證要求，不公開秘密；
查 App 文件中的 DNS 設定，不把網頁 IP 改變當作 DNS 也改路的證據；
確認所需工作使用 TCP 還是 UDP，以及兩端是否支援；
保留原設定，所需操作失效時按記錄復原。

這些是讀者檢查方法，不是本文作者的實測報告。如果軟件只記錄了 TCP 轉送，就按該能力判斷，不因 SOCKS5 選項存在而推斷它支援所有傳輸。

本機代理預設應限制在回環地址監聽。127.0.0.1 與 ::1 服務本機連線；綁定 0.0.0.0 或 :: 等所有介面，會在路由和防火牆允許時改變其它裝置的存取範圍。OpenSSH 動態轉送文件區分僅本機綁定與所有介面監聽，說明監聽地址與 SOCKS 版本是獨立問題。［4］

分享給 LAN 須由擁有者明確決定：確認獲准裝置，把監聽和防火牆存取限制在預期網絡，並使用實作支援的存取控制。不要把無認證代理開放到公網，也不要認為普通密碼能保護未加密的憑證交換。管理或控制 API 是具有獨立權限的另一端點；把它的連接埠填入 App SOCKS 設定不會令它變成代理。設定 App 前，先查軟件文件中的端點用途。

SOCKS 代理適合哪些場景？

開發或測試指定出口

有時你只想讓某個應用、腳本或下載任務走一條單獨路徑，而不是整部裝置都改路。

某些對 TCP/UDP 轉發更靈活的場景

RFC 1928 把 SOCKS5 擴展到 UDP，並支援更廣的地址與認證框架；這也是它和「只處理網頁代理」的直覺理解不同之處。［1］

對「單一應用走代理」有明確需求的場景

你不一定要整部裝置都走同一通道，有時只需要某一個客戶端單獨中轉。

SOCKS 代理不適合甚麼？

不適合作為「已經完整保護好」的預設判斷

SOCKS 的核心是轉發，不是天然等於全鏈路統一加密。如果你直接把它理解成「和 VPN 一樣安全」，通常是在高估它。［1］

不適合隨便託付敏感流量

尤其是來源不明、免費、沒有透明說明的代理服務。你並不知道它會不會記錄流量、篡改內容，或在中間加入額外風險。

SOCKS 代理、HTTP 代理、VPN 到底差在哪？

HTTP 代理理解 HTTP 請求，CONNECT 亦可建立到獲准目的地的隧道，並非只能讀取普通網頁。這個隧道本身不建立加密：內部 HTTPS 有自己的 TLS 保護，客戶端到代理的連線仍須獨立考慮。［5］

維度	SOCKS 代理	HTTP 代理	VPN
工作重點	更通用的流量中轉	主要面向 Web 請求	整體網絡隧道
常見覆蓋範圍	單一應用或單一客戶端	瀏覽器/網頁流量更常見	往往覆蓋整部裝置
是否天然代表完整加密	不應預設如此理解	不應預設如此理解	通常會建立統一加密通道

如果你想先補「代理到底是甚麼」這個更大的概念，可以繼續看代理伺服器的用途與能力界限。

為甚麼很多人會把 SOCKS 和 VPN 混淆？

原因很簡單：它們都可能改變「網站看到的出口地址」。

但這只是結果上的一小部分重疊。更關鍵的問題是：

是否覆蓋整部裝置流量；
是否統一加密；
是否只對某個應用生效；
是否適合公共 Wi‑Fi 這類場景。［1］

一旦把問題換成這幾項，SOCKS 和 VPN 的分別就清楚多了。

如果你正考慮在租用的伺服器上自建 SOCKS 服務，還是付費使用託管服務，先看維護 VPS 與使用 VPN 服務的取捨再作決定。

甚麼時候更應該考慮 VPN？

你在酒店、機場、咖啡店等陌生 Wi‑Fi 上網；
你希望整部裝置流量統一走加密通道；
你不想逐個應用單獨設定；
你更關心鏈路私隱，而不只是換出口。

SOCKS 端點不代表連線已加密，亦不證明涵蓋整部裝置。如果你需要的是加密網絡路徑，而非為單一應用程式設定轉送，可以把 AethoVPN 作為 VPN 連接，再確認哪些應用程式和 DNS 請求實際經過隧道；這不代表該 VPN 提供 SOCKS 端點，亦不證明裝置所有流量都會受到保護。用電郵開一個試用帳戶，把這條隧道和你現有的代理設定比較一下。

總結

SOCKS 代理是甚麼：它是一種更通用的流量轉發代理，今天最常見的是 SOCKS5。
它更適合單一應用中轉、指定出口和某些靈活轉發場景。
SOCKS 代理能改出口，但不應直接等同於完整私隱保護。
如果你真正關心的是整機級別的鏈路保護和公共網絡安全，VPN 通常更合適。

常見問題（FAQ）

SOCKS 代理就是 SOCKS5 嗎？

不完全一樣，但現在大多數普通用戶談到 SOCKS 代理時，通常主要是在說 SOCKS5。［1］

SOCKS 代理和 HTTP 代理有甚麼分別？

HTTP 代理面向網頁請求並理解 HTTP 語義，SOCKS 則提供更通用的流量轉送；實際涵蓋哪些連線，仍取決於哪些應用程式設定為使用該代理。

SOCKS 代理會加密我的所有流量嗎？

不能預設這樣理解。它的核心是轉發，不是天然等於整機統一加密。

SOCKS 代理和 VPN 哪個更安全？

如果你的目標是更完整的鏈路保護和整部裝置流量保護，VPN 通常更穩。

免費 SOCKS 代理值得用嗎？

通常不值得高估。來源不明的代理服務不適合敏感流量。

免責聲明：本文僅供一般網絡與代理技術科普參考，不構成企業網絡架構設計、代理部署或合規建議。不同客戶端和代理實作的行為可能存在差異。

來源：

RFC 1928 - SOCKS Protocol Version 5 — https://www.rfc-editor.org/rfc/rfc1928
RFC 1929 - Username/Password Authentication for SOCKS V5 — https://www.rfc-editor.org/rfc/rfc1929
curl - Man page, SOCKS options — https://curl.se/docs/manpage.html
OpenBSD - ssh(1), dynamic forwarding and bind addresses — https://man.openbsd.org/ssh
RFC 9110 - HTTP Semantics, CONNECT — https://www.rfc-editor.org/rfc/rfc9110.html

Sources checked 2026 年 10 月 9 日。

延伸閱讀：

SOCKS 代理是甚麼？它和 HTTP 代理、VPN 有甚麼關鍵分別