Editing Openai/6937b8ff-b070-8002-89c2-4f3c35f2c29a (section)

=== Reality 核心包含三个部分： ===

==== Reality 不再使用伪造的网站或自签证书，而是： ====
* 指定一个真实存在的网站域名，如： www.cloudflare.com、www.google.com、www.bing.com
* 客户端在 TLS 握手中发送的 SNI，看起来就是访问该站点
* 探测者看到的流量： “某人访问 google.com<ref>{{cite web|title=google.com|url=https://www.google.com/%E2%80%9D|publisher=google.com|access-date=2025-12-10}}</ref>

这个 SNI 无法被阻断，否则就是阻断整个互联网。

==== 传统代理：TLS 外层 + 内层代理协议（容易被发现） ====
Reality：把认证信息隐藏在 TLS 握手里。

Reality 使用的是 XRay 官方定制的隐形握手算法：
* 客户端发送的 TLS ClientHello 完全和 Chrome/Safari 一致
* 在某些 TLS 字段内隐藏认证 token（例如长度、padding、随机数等可利用空间，方式不公开但已开源）
* 服务端检测到「暗号」→ 接入代理功能
* 未携带暗号的请求 → 反向代理到真实网站（完全正常的 HTTPS）

因此：

探测者看到的只是一段 正常的 HTTPS 流量，没有内层协议特征。

==== Reality 不需要自签证书，也不需要从 CA 获取证书，它： ====
* 使用 真实网站的证书链
* 由服务端“透传”（不是伪造）
* 因此 TLS 行为完全真实

探测者无法从证书上判断异常，因为证书就是 该网站本身的证书。