不翻车编辑部 · 原理说明REALITY 的"目标网站"是干什么的？
REALITY 让你的服务器在别人眼里像另一个正常网站。你在 3x-ui 里填的「目标」（target，以前叫 dest）和「SNI」，就是要模仿的那个网站。没有你密钥的人连过来，服务器会把他原样转给目标网站，他看到的是目标网站的真证书。所以目标网站本身得"正常"：国外、支持新协议、不乱跳转。
官方标准是什么？
REALITY 项目说明（README）原文：目标网站最低标准是国外网站，支持 TLSv1.3 与 H2，域名非跳转用（主域名可能被用于跳转到 www）。加分项：IP 相近（更像，且延迟低）、Server Hello 后的握手消息一起加密、有 OCSP Stapling。
这个工具前五项（国外、TLS 1.3、H2、不跳转、证书包含这个域名）对应最低标准，任何一项不合格都不建议用。
| 检查项 | 不合格会怎样 |
|---|---|
| 国外网站 | 国内网站的 IP 和你的国外服务器对不上，一眼就露馅 |
| TLS 1.3、H2 | REALITY 靠 TLS 1.3 握手，目标不支持就模仿不了 |
| 域名不跳转 | 比如 apple.com 会 301 跳到 www.apple.com，要填跳转后的那个 |
| 证书包含这个域名 | SNI 填的域名不在证书里，客户端会报 x509 证书错误 |
| 不在 Cloudflare 上 | Xray 文档：目标用 Cloudflare 这类免费 CDN，你的服务器等于成了它的端口转发，可能被扫到后偷跑流量 |
Xray 新版为什么警告 apple、microsoft？
Xray v26.9.30 起，目标网站含 apple、icloud、microsoft，或者是 .cn、.ru、.ir 结尾，启动时日志会写：Choosing "这个域名" as the target will increase the likelihood of your server's IP being blocked by the GFW，意思是这样选更容易被墙。规则写在 Xray-core 源码 infra/conf/transport_security.go 里。用的人越多的网站，越容易被盯上。
后量子、证书链长度、OCSP 要紧吗？
这三项不决定能不能用。目标支持 X25519MLKEM768 时，REALITY 客户端会自动用后量子算法协商。证书链长度只有开 mldsa65（后量子签名）时才有要求：Xray 文档说目标返回的证书必须大于 3500 字节。OCSP Stapling 是 README 里的加分项。
这个工具怎么测的？
我们每周把名单里的 178 个网站统一检测一次：和目标网站真握一次手，读它的协议版本、ALPN 和证书，结果和 Xray 自带的 xray tls ping 一致（证书链长度、证书张数、后量子支持我们逐个对照过）。你查的时候直接读这份结果，不再临时去连目标网站。「同一个网络」用的是 ip-api.com 的 ASN 数据，只查你填的服务器 IP 归属，不会去连你的服务器。
名单外的网站怎么测？
在你自己的服务器上测，结果比我们测的更准，因为 REALITY 本来就是从你的服务器去连目标网站，个别网站对不同地区返回的内容不一样。两种办法：
- 命令行：SSH 登上服务器运行
xray tls ping 域名。3x-ui 装的 Xray 在/usr/local/x-ui/bin/下，x86 服务器是/usr/local/x-ui/bin/xray-linux-amd64 tls ping 域名。看输出里的 TLS 版本是不是 1.3、ALPN 有没有 h2、证书里有没有这个域名。 - 3x-ui 面板：v3.10 起，入站的 Reality 设置里自带「查找目标」扫描，从你的服务器发起，合格会自动填好目标和 SNI。
想让我们把某个网站加进每周名单，可以在 联系我们 留言。
测完怎么填进 3x-ui？
入站 → 编辑 → 安全选 Reality：「目标」填 域名:443，「SNI」填同一个域名（要在证书包含的域名里）。保存后在客户端更新订阅。完整步骤见 3x-ui 面板配置；改完连不上，按 节点超时排查一项项查。