安全级别权衡——隐私 vs 可用性的决策框架
核心原则
Tor Browser 安全设计的底层逻辑是统一而不是隐藏——让你和所有其他 Tor 用户看起来一样，而不是尝试让你隐身。这个"统一"策略在 JavaScript 开启时才能完整发挥作用，但 JavaScript 本身又可能暴露你。三档安全级别就是在这个矛盾里找位置。
四种典型威胁模型
威胁模型 A：日常反追踪
威胁：Google、Meta、阿里等广告生态追踪你的浏览行为，投放精准广告。推荐级别：标准或较安全（看你对字体被禁用的敏感度）理由：Tor 的统一指纹 + 默认反追踪已经足够。不需要升到"最安全"牺牲太多功能。
威胁模型 B：本地网络管理员
威胁：企业/学校网络管理员监控你访问了什么网站、用了什么工具。推荐级别：较安全 + 可插拔传输/网桥理由：Tor 网络本身能隐藏目标网站。安全级别选择取决于你是否要访问 HTTP 站点。
威胁模型 C：国家/ISP 审查
威胁：ISP 封锁 Tor 或深度包检测识别 Tor 流量。推荐级别：较安全 + Snowflake/obfs4 网桥理由：审查绕过的优先级高于安全级别选择。连接通了之后，较安全级别足够日常用。
威胁模型 D：高风险（记者/活动人士/举报人）
威胁：被针对性追踪、被入侵、被物理搜查设备。推荐级别：最安全 + 禁用所有扩展 + 单独设备理由：最高风险需要最高保护。功能受限是代价，安全才是核心。额外建议：考虑 Qubes OS + Whonix/Tails 这类完整匿名操作系统方案。
权衡表
| 你更在意… | 选择 | 理由 |
|---|---|---|
| 网站能正常跑（视频、表单、动态内容） | 标准 | 功能完整，但风险敞口最大 |
| HTTP 站点不安全，但 HTTPS 该用还是要用 | 较安全 | 默认推荐 |
| 完全不执行网站脚本 | 最安全 | 最安全但大量网站不可用 |
| 字体定制、浏览器个性化 | 标准 | 后两档都禁自定义字体 |
| 不泄露 Canvas/WebGL 指纹 | 较安全或最安全 | 这两档都禁 WebGL 和指纹相关 API |
| 日常用不频繁调安全设置 | 较安全 | 设置一次后基本不用再改 |
动态切换技巧
安全级别不用固定死在一档——Tor Browser 切换几乎瞬间完成：
推荐日常节奏
起床 → 较安全（默认）
浏览新闻、查资料 → 保持较安全
某个网站需要脚本 → NoScript 临时信任或临时升到标准
敏感操作前 → 升到最安全
操作完成 → 立即降回较安全什么时候必须手动升/降
| 场景 | 操作 |
|---|---|
| 访问纯信息类、可信的 HTTPS 网站 | 保持较安全 |
| 访问可疑或陌生的 HTTP 站点 | 升到最安全 |
| 需要用网页应用（Google Docs 等） | 临时升到标准，用完降回 |
| 提交敏感信息（密码、个人资料） | 升到最安全，提交完降回 |
与 Mullvad Browser 的对比视角
如果你主要考虑日常反追踪而非绕过审查，Mullvad Browser + 付费 VPN 可能是更合适的组合：
| Tor Browser | Mullvad Browser + VPN | |
|---|---|---|
| 反指纹设计 | ✅ 同 Mullvad | ✅ 同 Tor Browser |
| 速度 | ❌ 慢（Tor 中继） | ✅ 快（VPN 直连） |
| 绕过审查 | ✅ 内置网桥 | ❌ 依赖 VPN 提供商 |
| 使用复杂度 | 中等 | 低 |
| 匿名等级 | 高 | 中高 |
| 成本 | 免费 | VPN 月付 |
两条路线的安全级别选择逻辑完全不同：Tor Browser 需要在"安全 vs 速度"之间权衡，Mullvad Browser + VPN 基本不需要做这个权衡——直接用就行。
常见误区
误区一：开着 Tor Browser 就得最安全级别
错。大多数用户不需要最安全级别。日常用"较安全"更平衡。
误区二：切换安全级别会清除我浏览过的内容
错。切换安全级别只影响新的页面加载。已经打开的标签页不受影响（需要刷新才生效）。
误区三：最安全级别就绝对安全
错。最安全级别只是消除了最大的攻击面（JavaScript），但你仍然可能在浏览纯文本内容时被关联身份（比如自己透露的信息、系统时间偏差等）。
误区四：安全级别越高越好
错。Tor Browser 安全团队明确建议大多数用户使用默认（标准）或较安全级别。最安全级别是为特殊场景设计的，长期用只会让你放弃 Tor Browser 回到普通浏览器，反而降低整体安全。