Safari 用 VPN：扩展还是完整应用

对许多 iPhone、iPad 和 Mac 用户来说，Safari 就是默认浏览器，而它的运作方式与大多数 VPN 指南默认你在用的浏览器并不相同。如果你搜索的是 Safari 的 VPN 扩展，多半是想知道一个小小的附加组件能不能代替 VPN，还是必须装完整的应用。老实说，答案取决于你想保护什么，以及 Safari 允许扩展做到什么程度。

本文只谈 Safari。我们会讲 Safari 扩展是怎么构建和授权的，只在 Safari 内部运行的附加组件能碰到什么、碰不到什么，同一台设备上的完整 VPN 应用会让情况有何不同，以及怎样确认你现在实际运行的是哪一种。想看适用于所有浏览器的通用对比，请阅读 VPN 浏览器扩展与 VPN 应用。这里我们只讲苹果自己的做法。

Safari 如何对待扩展

在 iPhone、iPad 或 Mac 上，Safari 扩展是作为某个应用的一部分，通过 App Store 提供的。你先安装应用，再到 Safari 自己的设置里打开扩展。这带来几个很实际的后果。

• 每个扩展都有一个所属应用。 你在 Safari 里看到的扩展，属于某个在商店里有详情页、开发者名称和隐私说明的应用。安装前值得先读一读这个页面。
• 由你决定何时生效。 对每个扩展，你可以选择允许在所有网站上运行、每次询问，或者拒绝。Safari 会按网站分别显示这些选项，所以你能看清哪个扩展可以访问哪个页面。
• 扩展作用于网页。 经你允许后，它可以改变页面的显示、屏蔽内容或读取页面上的细节。它不是针对整台设备的通用网络工具。
• 苹果设定的边界比较严。 Safari 与其他浏览器在扩展能力和权限提示上并不一致，而且会随系统版本变化。

要记住的关键一句是：Safari 扩展是页面层面的辅助工具，而 VPN 是网络层面的工具。两者处在不同的层，把它们混为一谈，正是大多数人误解“VPN 扩展”究竟做了什么的根源。

Safari 的 VPN 扩展能做什么、不能做什么

“VPN 扩展”这个说法用得很宽泛。实际上，打着这个名字出售的附加组件大致分为几类。

完整应用的配套开关。 有些扩展只是控制同一台设备上已安装的 VPN 应用，让你能在 Safari 工具栏里开关隧道。真正起保护作用的是应用，而不是扩展。这是最可靠的一类，因为实际工作发生在系统层面。

挂着 VPN 名头的内容工具。 有些附加组件用来屏蔽跟踪器、把链接升级为 HTTPS，或隐藏来源信息。它们可能有用，但不是 VPN，因为它们不会对你的设备与服务器之间的网络连接进行加密。

声称能改变你位置的页面级辅助工具。 这一类要格外小心。只在网页内部运行的附加组件，通常无法重建你的整条连接。如果详情页暗示它能对网络或你的网络服务提供商隐藏流量，就该问问：在技术上到底是什么在做这件事？

阅读商店详情页时，注意看措辞是否清楚：扩展是与某个应用配合使用，还是独立工作？隐私部分列出了哪些数据类型？它是否要求访问所有网站？关于免费端市场的取舍，可以看 免费浏览器 VPN 与应用的比较。

完整 VPN 应用覆盖的是什么

完整的 VPN 应用，例如 XPASS 客户用“我的通行证”（My Pass）页面上的用户名和密码登录的免费 VPNclient 应用，会在设备上安装一份 VPN 配置。隧道连接后，系统会把网络流量送进隧道，而不只是某一个浏览器的流量。

对 Safari 用户来说，这意味着：

• 所有标签页和网站都通过同一条加密隧道，包括从其他应用里的链接打开的页面。
• 邮件、通讯、地图以及在后台取数据的应用，同时都被覆盖。
• 你不必向任何第三方授予网站级别的权限，因为这种保护并不是建立在读取页面之上的。
• 断开连接时，是整台设备一起断开，从屏幕状态栏上很容易看出来。

代价不大，但确实存在。完整应用会多耗一点电量，也可能带来些许延迟。银行类应用等有些应用会对 VPN 连接作出反应。而且你需要记得去连接。详细步骤见我们的 iPhone 和 Mac 设置指南。

对比：扩展、完整应用与隐私中继

苹果用户有时还会问起 iCloud+ 和 Safari 内置的隐私功能。它们又属于另一类。下面是三种做法的简明对比。

	仅限 Safari 的扩展	完整 VPN 应用	类似隐私中继的功能
作用范围	仅 Safari 内的网页	整台设备、所有应用	Safari 及部分系统流量
是否需要网站权限	通常需要，按网站设置	不需要	不需要
是否覆盖邮件和聊天应用	否	是	一般不覆盖
控制位置	Safari 工具栏和设置	VPN 应用和系统状态	系统设置
适合	范围窄且你完全理解的任务	在共用网络上的日常保护	浏览时的轻量隐私层
主要风险	对页面的访问权限过宽	对应用的信任和耗电	误解它覆盖的范围

最后一列并不是 VPN，我们也不建议把它当成 VPN。想了解细节，可以读 隐私中继和安全网关与完整 VPN 的区别。

Safari 上的三个场景

具体例子更容易帮你做决定。

小米，带着 iPhone 和 MacBook 的学生。 她在学校图书馆和咖啡馆学习，主要用 Safari，但也有一个聊天应用和一个笔记共享应用在后台同步。只在 Safari 内运行的附加组件覆盖不到这些同步流量。所以她在两台设备上都装了完整的 VPN 应用，加入共用网络时就连上，而 Safari 的扩展列表里只留一个她信任的内容拦截器。

阿杰，住酒店的旅行者。 他在 Safari 里查邮件，还用登机牌应用和翻译应用。他想要一个开关同时覆盖这三样。完整应用适合他。他先在家里测试，之后每次连上酒店或机场网络就打开。如果连接时银行应用打不开，他会在移动数据下暂时关闭 VPN，办完事再打开。

安妮，用 Mac 的远程工作者。 她用 Safari 访问网页工具，但也用桌面邮件客户端和文件同步客户端。浏览器扩展只能保护其中一样。她选了完整的 Mac 应用，并尽量减少 Safari 里的扩展，因为每多一个扩展，就多一个能访问她页面的东西。

这三个例子里，问题都不是抽象的“扩展还是应用”，而是“我需要覆盖哪些流量”。决定之前，先把这份清单写下来。

如何确认你实际用的是什么

很多人装完就以为能用了。一次简短的检查只要几分钟。

1. 打开 Safari 的扩展列表。 在 iPhone 或 iPad 上，进入设置，选 Safari，再选扩展。在 Mac 上，打开 Safari，选择设置，进入扩展标签页。记下哪些扩展是开启的。
2. 逐个检查权限。 看每个已启用的扩展是设为允许所有网站、询问还是拒绝，把不需要的改成更严格的选项。
3. 阅读商店详情页。 看开发者、隐私部分以及列出的数据类型，再和扩展声称的功能对照。
4. 检查系统的 VPN 状态。 如果用完整应用，连接后请留意 iPhone 状态栏或 Mac 菜单栏里的 VPN 图标。
5. 分别在关闭和开启时测试。 隧道关闭时，在 Safari 里打开 IP 检测页面，记下地址；然后连接并刷新，地址应当发生变化。接着在另一个应用里再做一次测试，确认整台设备都被覆盖。

如果地址在 Safari 里变了，但你不确定其他应用，那很可能只是浏览器内的效果。我们的 如何测试 VPN 更完整地介绍了泄漏、速度和 kill switch 检查。

局限与注意事项

无论选哪条路，以下局限都存在。

• VPN 不是跟踪拦截器。 网站仍然可以通过登录状态、Cookie 和浏览器细节认出你。VPN 改变的是网络路径，而不是你在已登录网站上的身份。
• 权限不断膨胀。 扩展的访问范围越大，它能看到的你访问页面上的内容就越多，包括表单。请保持数量少、权限窄。
• 更新会改变行为。 系统或 Safari 大版本更新后，检查扩展是否仍处于启用和已授权状态。更新有时会重置开关。
• 隐私浏览窗口。 扩展在隐私窗口中可以单独允许或禁止。如果某个窗口里正常、另一个窗口里不行，请检查这项设置。
• 配套应用很重要。 如果你的扩展依赖某个应用，要确保应用已安装并已登录，否则工具栏按钮什么也不会做。
• 网络封堵。 有些网络会干扰 VPN 流量。如果完整应用在酒店或办公室网络上连不上，可以换成移动数据，看看是不是网络的原因。

没有任何附加组件或应用能让你匿名，也不能防止钓鱼。请把你选的工具和良好习惯结合起来，想看完整清单，请读 VPN 无法保护你的方面。

常见错误

• 装了名字里带 VPN 的扩展，就以为整台手机都被覆盖。
• 明明一个网站就够，却让扩展在所有网站上运行。
• 不再使用后仍让旧扩展一直开着。
• 因为下载量大就信任某个扩展，却没读它的隐私说明。
• 只在 Safari 里测试，从不检查其他应用。
• 忘了完整 VPN 是否连接要看状态图标，而不是工具栏按钮。

总结

在 Safari 里，扩展是通过应用提供的页面级辅助工具，而完整的 VPN 应用保护的是整台设备的网络流量。只有在你清楚它覆盖什么、也能接受它的权限时才使用扩展；想让每个标签页和每个应用都有同一层保护，就选完整应用。检查设置的方法是：查看 Safari 的扩展列表、阅读商店详情页，并在隧道关闭和开启两种状态下分别测试。

如果完整应用适合你，而你想要一张到期自动结束的预付通行证，可以按自己的节奏查看 价格页面。