Shadowsocks 是什么
Shadowsocks（常简称为 SS）是一种加密代理协议，最初由开发者 clowwindy 于 2012 年前后发布，设计初衷是提供一种轻量、易部署、传输效率高的加密代理方案，帮助用户在受限网络环境下访问被限制的网站。Shadowsocks 的架构借鉴了 Socks5 代理协议的思路，但在其基础上增加了一层加密，使得代理流量的内容对第三方观察者而言是不可读的密文。
Shadowsocks 采用客户端-服务器架构：本地客户端将应用程序的网络请求加密后转发给远程服务器，服务器解密后代为访问目标网站，再将响应加密后传回客户端。整个过程对用户使用的应用程序（浏览器等）而言是透明的。
工作原理
Shadowsocks 的核心是对称加密：客户端与服务器预先共享同一个密码（或密钥），双方使用相同的密钥对数据进行加密和解密。相比需要复杂证书体系的非对称加密方案，这种方式配置简单、加解密效率高，是 Shadowsocks 能够做到轻量高效的关键原因。
早期版本的 Shadowsocks 使用流加密（Stream Cipher）算法，后来被发现存在一定的安全隐患（例如容易受到重放攻击）。目前主流实现已经全面转向 AEAD（Authenticated Encryption with Associated Data，带认证的加密）加密方式，在加密数据的同时提供完整性校验，能够检测数据是否被篡改，安全性有了显著提升。选择 SS 节点或自建服务时，AEAD 加密方式已是事实上的标配。
流量特征与隐蔽性
Shadowsocks 的流量在协议层面具有相对固定的特征：握手方式、数据包结构与常规互联网流量（尤其是 HTTPS 流量）存在可辨识的差异。在流量识别技术不太严格的网络环境下，这通常不构成问题；但在审查手段较强、会针对流量特征做主动识别和干扰的环境中，纯 SS 流量相对更容易被察觉和针对。
为了提升隐蔽性，社区发展出了多种配合方案，例如搭配 v2ray-plugin、simple-obfs 等混淆插件，将 SS 流量进一步伪装成 TLS 或 HTTP 流量。这也是后续 Trojan、VMess、VLESS 等协议在设计之初就更强调"原生伪装能力"的原因之一——与其事后打补丁，不如从协议设计层面直接借用标准协议（如TLS）的握手特征。
与其他协议的对比
| 协议 | 核心思路 | 隐蔽性 | 特点 |
|---|---|---|---|
| Shadowsocks | 对称加密 + Socks5 风格代理 | 中等，需配合混淆插件增强 | 轻量、实现简单、生态成熟 |
| Trojan | 完全模拟标准 TLS 握手 | 较强，流量特征接近正常 HTTPS | 依赖真实证书，配置相对复杂 |
| VMess | 自定义加密协议 + 时间戳校验 | 中等偏强，可配合 WS+TLS | 功能丰富，是 V2Ray 生态的原生协议 |
| VLESS | 去除内置加密，依赖外层 TLS | 较强（搭配 TLS 时） | 更轻量，处理开销更低 |
更完整的 Trojan 与 Shadowsocks 对比分析可参考Trojan vs Shadowsocks。
优点与局限
Shadowsocks 的主要优点在于生态成熟、客户端支持广泛（几乎覆盖所有主流操作系统和路由器固件）、配置简单、加解密效率高、对设备性能要求低。这些特点使它至今仍是许多轻量级代理场景的常见选择。
它的局限性主要体现在流量特征的隐蔽性上——在面对具备深度流量分析能力的网络环境时，裸 SS 协议的可识别性相对更高，这也是近年来 Trojan、VLESS 等更强调"协议伪装"的方案逐渐受到关注的背景。
了解了 Shadowsocks 的基本原理后，可以进一步阅读Trojan 协议介绍，理解基于 TLS 伪装的新一代协议是如何设计的，也可以参考Trojan 与 Shadowsocks 对比做更直接的横向比较。