访问 .onion 网站的安全规范——从验证到操作的注意事项

核心安全原则

访问 .onion 网站时的安全模型可以用一句话概括：你和网站互不认识、互不信任、互不关联。所有操作都围绕这个前提设计。

访问前：验证 .onion 地址

为什么要验证

.onion 地址是一串随机字符，没有人类可读的域名记忆性。攻击者可能：

注册和知名 .onion 类似的地址（比如 duckduckgo-xxx.onion）
发钓鱼链接诱导你访问仿冒站

验证方法

方法一：从可信来源获取地址

知名服务的 .onion 地址通常会在普通互联网（HTTPS 网站）上公开列出。先在普通浏览器里访问官方 HTTPS 页面，找到它给出的 .onion 地址，再回到 Tor Browser 里访问。

方法二：Ahmia 搜索引擎

Tor Browser 里访问 ahmia.fi（普通 HTTPS 入口），搜索网站名称看是否匹配。

方法三：交叉验证

如果某个 .onion 地址同时出现在 Tor Project 手册、Ahmia 索引、以及该服务的普通 HTTPS 页面上，基本可信。

访问中：基本操作规范

第一步：安全级别设为"最安全"或"较安全"

访问 .onion 网站时建议提高安全级别：

较安全：禁用 HTTP 网站脚本（.onion 网站走 Tor 网络，HTTPS 可选）
最安全：禁用所有脚本（最高保护，但可能大量功能不可用）

.onion 网站的代码质量和安全水平参差不齐，更高安全级别意味着更小的攻击面。

第二步：不要在 .onion 里登录日常账号

这是最高频的错误：

❌ 在 Tor Browser 里登录 Google/Facebook/微信/邮箱
❌ 在 .onion 论坛里用日常用户名
❌ 在 .onion 电商里用日常地址或支付方式

正确做法：为 .onion 使用场景创建全新的、独立的身份——新用户名、新密码、新邮箱（建议使用 ProtonMail/TutaNota 这类隐私邮箱）。

第三步：禁用浏览器扩展

Tor Browser 已经内置了全部需要的扩展（NoScript、HTTPS Everywhere）。不要装任何额外扩展——在 .onion 网站里额外扩展可能主动泄漏身份。

第四步：保持窗口不最大化

Tor Browser 会自动保持 Letterboxing 尺寸。不要手动最大化窗口——最大化后视口尺寸变成你的真实屏幕分辨率，破坏反指纹。

访问后：会话管理

不要保存登录状态

Tor Browser 默认会话结束就清 Cookie，这很好。但如果某个 .onion 网站允许"记住我"，不要勾。

会话结束后新建身份

访问完敏感的 .onion 网站后，建议：

主菜单 → "新建身份"
确认所有标签页已关闭
新身份下不要立刻浏览其他相关内容

这样可以切断刚才的行为和后续行为的关联。

下载文件的特殊风险

.onion 网站里下载文件需要格外小心：

风险模型

下载的文件可能包含恶意代码（木马、勒索病毒）
.onion 网站无法像普通应用商店那样做安全审计
文件的源头完全匿名，无法追溯

下载后怎么处理

第一原则：不要在你的日常操作系统上直接打开。

推荐做法：

下载文件到 Tor Browser 的临时下载目录
关闭 Tor Browser 让临时目录被清除（默认行为）
如果确实需要检查文件，在虚拟机里打开（VirtualBox/VMware，快照模式）

更安全的方案：使用 Tails（Live USB 操作系统）或 Qubes OS。

邮箱和即时通讯

不要用

Gmail / Outlook / QQ 邮箱等大众邮箱——虽然可以在 Tor 里访问，但一旦登录日常账号，身份关联风险极高

法律风险提醒

这是一个必须正视的事实：

.onion 网络里存在非法内容和服务
各国法律对访问 .onion 的态度不同
某些司法辖区中，单纯访问 .onion 可能触发执法关注
实际行为（交易、分发、生产违法内容）的法律后果远重于单纯浏览

本内容仅为技术研究参考，使用者需自行了解并遵守当地法律。