在反审查技术的演进历程中，过去的很多工具走的是“发明独特特征并极力混淆”的技术路线。然而这种思路天然存在逻辑漏洞：任何未知的加密杂波在严密的数学统计模型下本身就是一种刺眼的特征。Trojan（特洛伊木马）协议横空出世时，开创性地提出了一种近乎颠覆性的哲学：“既然无法隐藏特征，那就把自己完全伪装成互联网上最合规、最常见的流量——标准 HTTPS 网页流量”。它是如何瞒天过海的？
一、特洛伊木马设计哲学：大隐隐于市的标准 HTTPS 流量
互联网底层每天流动着数以百亿计的正常网购、银行支付和企业办公流量，其中 99% 以上全部采用标准的 TLS/HTTPS 协议封装在 443 端口中。如果审查系统敢于直接切断所有 443 端口流量，现代商业社会运转将瞬间瘫痪。Trojan 的核心精髓就是“绝不自创任何私有握手规则”，它完完整整、不折不扣地遵循互联网工程任务组（IETF）规定的标准 TLS1.3 握手流程，向正规机构申请合法的 SSL 证书，并监听在标准的 443 端口上。
二、回落机制（Fallback）：让主动探测撞上一面坚不可摧的真实网页
当防火墙怀疑某个 IP 可能是代理服务器并向其发起恶意探测时，传统工具往往会因为无法正确响应标准 HTTP 协议而露馅被封；而 Trojan 服务端巧妙地在内部部署了一个真实合规的 Web 服务器（如 Nginx/Caddy）。当握手数据包到达时，Trojan 核心首先在内存中检查数据包开头的密码哈希凭证：如果密码完全正确，则将流量透明反向代理至代理转发管道；如果密码错误或遭遇外部扫描探测，服务端则毫无破绽地直接将请求“回落（Fallback）”给真实的 Web 网页，向审查者展示一个真实的个人博客或英文静态站。
三、端到端 TLS 强加密与抗主动探测的终极免疫
在标准的 TLS1.3 协议保护下，数据在离开客户端物理网卡的那一刻起，就已经被高强度的椭圆曲线密码学算法完全封装。外部任何中间人嗅探设备在物理线路上只能抓取到完全合规的 TLS 握手证书与加密数据流，根本无法窥视内部传输的真实明文指令或目标网址。这种利用世界互联网通用基础设施作为掩护的战略思维，使 Trojan 具备了极其顽强的抗封锁生命力。
常见疑问解答
如果有人直接在普通浏览器里输入 Trojan 节点的域名和 443 端口，会看到什么？
由于普通浏览器请求不包含客户端专属的密码认证头部，Trojan 服务端会将其自动回落至后端的真实 Web 站点，访客看到的将是一个完全合法正常的静态展示网页（如个人技术博客或英文摄影展）。
Trojan 节点必须绑定一个真实合规的域名并申请证书吗？
是的，这是 Trojan 协议成立的基石。必须拥有一个公网解析正常的域名，并为该域名向 Let’s Encrypt 或其他知名 CA 机构申请有效的 SSL 证书，否则客户端在校验证书时会直接报错拒绝连接。
总结与购买前核验建议
Trojan 协议将“大隐隐于市”的东方哲学在计算机网络工程中演绎得淋漓尽致。借道全球商业互联网通用之盾，化身为合法合规的 HTTPS 浪潮，成就了坚不可摧的通达网络之路。