TorBrowser 深度盘点：洋葱路由的匿名浏览器到底能做什么

项目	内容
软件	TorBrowser
版本	10.0.1688.1.3-Release
平台	Android APK
体积	77.96M
分类	系统工具
包名	org.torproject.torbrowser
官网	TorBrowser 官网
下载一	TorBrowser 下载， TorBrowser 下载
下载二	TorBrowser 下载， TorBrowser 下载
文档	TorBrowser 文档
介绍	TorBrowser 是目前公开可用的匿名浏览器中最成熟、最被信任的产品。它不是给浏览器加了匿名插件，而是从底层修改了 Firefox 的行为模式，让每一个用户在网络上呈现出几乎完全相同的特征。本文系统性盘点它的核心能力、保护机制、连接方案与使用边界。

TorBrowser 是什么，为什么值得认真盘点

TorBrowser 是 Tor 项目推出的开源匿名浏览器，基于 Firefox ESR 长期支持版深度定制，通过洋葱路由（Onion Routing）实现流量匿名化，并内置一整套反追踪、反指纹识别的保护机制。它不是一个"给浏览器加了匿名插件"的简单组合，而是从底层修改了浏览器的行为模式——让每一个用户在网络上呈现出几乎完全相同的特征，匿名性来自"众人相同"而非"个人隐藏"。

Tor 项目起源于美国海军研究实验室，2006 年起由独立的 Tor Project 组织维护。整个项目包括 Tor 守护进程、TorBrowser 浏览器包、BridgeDB 网桥分发服务、Snowflake 新型可插拔传输，以及由志愿者社区维护的超过 6000 个全球中继节点。TorBrowser 只是这套体系中面向普通用户的那一层——开箱即用的一站式解决方案，不需要用户自己配置 Tor 守护进程。

盘点 TorBrowser 的能力有一个重要前提：理解它不是什么。它不是 VPN——VPN 把流量加密后直接发到一个服务器再出去，快但信任单一服务商；Tor 流量走三个中继跳，慢但架构更分散。它不是暗网代名词——TorBrowser 能访问 .onion 服务，但它的主要用途是让普通网页浏览也具备匿名性，只有访问 .onion 才涉及暗网。它也不是完美匿名——出口节点之后，Tor 网络到目标服务器之间的流量不加密，如果目标网站能识别你登录账号或行为特征，仍然可以关联到你。带着这些边界去看它的能力，评价才不会跑偏。

核心能力域一：洋葱路由——匿名的底层架构

TorBrowser 的一切匿名保护都建立在洋葱路由之上。普通浏览器的请求是直线：你的设备 → 目标服务器。TorBrowser 的请求要绕三个弯：入口中继 → 中间中继 → 出口中继 → 目标服务器。每一层中继都只知道上一跳和下一跳的身份，没有任何一个节点能同时知道"谁发起的请求"和"请求发给了谁"。

洋葱路由的亮点在于分散信任。VPN 用户必须信任单一服务商——服务商知道你的真实 IP 和所有上网流量。TorBrowser 用户不需要信任任何一个中继节点——就算某一个节点被监控，监控者也只能看到流量来自上一个节点、去向中下一个节点，看不到完整路径。这种分散设计让 Tor 网络在面对国家级审查时依然能保持可用，过去十几年的实践已经多次验证了这一点。

洋葱路由的代价是速度。三个中继跳加上每一层的加密解密，让 Tor 浏览速度明显比 Chrome、Firefox 慢很多。另外，出口节点到目标服务器之间的流量不加密——如果有人在出口节点监听，能看到你访问的目标网站。这意味着 TorBrowser 不能替代 HTTPS，在敏感网站上依然要确保 URL 以 https:// 开头。

核心能力域二：开箱即用的反追踪保护

TorBrowser 默认就开启了一整套保护机制，不需要用户手动配置任何东西——这一点很重要，因为很多浏览器插件方案需要用户自己判断该开什么、不该开什么，配错了反而降低安全性。

NoScript 脚本控制：随安全级别调控 JavaScript 和插件权限。在最高安全级别下，默认阻止所有网站的 JavaScript，用户需要手动为每个网站启用。这是对抗脚本指纹识别的核心手段——网站无法通过脚本读取你的屏幕分辨率、字体列表、显卡信息等设备特征来构建唯一指纹。

Letterboxing 窗口固定：普通浏览器允许用户自由调整窗口大小，而窗口分辨率是指纹识别的重要维度之一。TorBrowser 把内页尺寸固定在几组标准值，让同一安全级别的所有用户呈现相同的分辨率特征。你把浏览器窗口拉大拉小，真正显示网页的那一块区域始终是固定大小——周围会多出灰色空白边框。

字体标准化：限制浏览器可用字体范围。普通系统安装的字体列表是独一无二的，TorBrowser 只允许使用一小部分通用字体，消除字体指纹。

User-Agent 统一：所有 TorBrowser 用户向网站报告相同的浏览器标识。普通 Firefox 会把你的系统版本、浏览器版本、CPU 架构等信息通过 User-Agent 透露出去，TorBrowser 直接把这些信息抹平。

Cookie 第一方隔离：这是 TorBrowser Cookie 管理的核心策略。每个 Cookie 不仅归属于它自己的域名，还归属于当前访问的顶层网站域名。只有当你再次访问完全相同的"顶层域名 + Cookie 域名"组合时，Cookie 才会被发送。这意味着 Facebook Pixel 无法用同一个 Cookie 跨站关联你在 example.com 和 another-site.com 的行为。

会话结束自动清除：关闭浏览器后，所有 Cookie、LocalStorage、IndexedDB 全部清除。每次打开 TorBrowser 都是一个全新的身份——没有历史 Cookie，没有缓存。

HTTPS Everywhere：尽量强制 HTTPS 连接。如果网站同时提供 HTTP 和 HTTPS，自动切换到 HTTPS。

这套反追踪机制的亮点在于协同工作而非单点防御。NoScript 禁用脚本 → 网站无法写入追踪 Cookie；Cookie 隔离即使在脚本开启时也生效 → 即使网站能写 Cookie，跨站读不到；两层保护叠加，追踪难度指数级提升。手动修改其中任何一层都容易踩坑——比如关掉第一方隔离，第三方 Cookie 追踪立刻恢复。

核心能力域三：网桥与可插拔传输——对抗审查的连接方案

在网络审查严格的环境下，Tor 的公开中继节点会被批量封禁。TorBrowser 的应对方案是网桥——未公开列出的 Tor 中继节点，审查系统很难提前识别和封禁它们。

TorBrowser 提供了三种获取网桥地址的方式。最简单的是 BridgeDB 网页，在未被封锁的网络环境下访问 bridges.torproject.org，选择 obfs4 传输方式，完成验证码后就能拿到三行网桥地址。第二种是 TorBrowser 内置的 MOAT 功能——在 Tor Launcher 里勾选"Tor 在我的国家受到审查"，选择"向 torproject.org 请求一个网桥"，它自己会在 Tor 网络里获取网桥，不需要浏览器能访问 BridgeDB 网页。

第三种是邮箱请求——如果前两种方式都不行，可以发邮件到 bridges@torproject.org，正文写 get transport obfs4，几分钟后会收到回复。注意 Tor Project 只接受 Gmail 或 Riseup 邮箱的请求。

网桥必须配合可插拔传输使用，主要是 obfs4。Snowflake 和 meek-azure 是另外两种传输方式，不需要网桥——Snowflake 利用 WebRTC 把 Tor 流量伪装成视频通话流量，普通用户的浏览器也能被招募成 Snowflake 代理节点。

网桥地址不是永久有效的——网络环境变化、网桥运行者下线、被大规模封禁都可能导致之前的网桥失效。判断网桥失效的标准很简单：Tor Launcher 用了某个网桥但长时间连不上，切换到其他网桥能连上。在审查环境下，建议每周获取一次新网桥，存 3~5 个备选。

短板也要说清楚

TorBrowser 不是银弹，它的局限和它的能力同样值得关注。

速度瓶颈是结构性的。Tor 网络本身的带宽瓶颈在中继节点侧，即使你是千兆光纤，Tor 浏览速度也不会超过中继能承载的上限。日常刷网不建议作为主力浏览器。

部分网站兼容性不佳。依赖复杂脚本、需要跨域读取用户状态的网站功能（比如购物车、单点登录、跨应用同步）在 Cookie 隔离下会有问题。安全级别设得越高，能正常工作的网站越少。

登录日常账号是大忌。TorBrowser 的安全模型建立在"匿名"之上，在 Tor 里登录你的日常邮箱、社交账号、银行账号，等于把你的真实身份和 Tor 匿名身份关联起来，直接破坏了匿名性。

移动端能力受限。Android 上的 TorBrowser 与桌面版行为略有差异，部分反指纹功能受限。iOS 上目前没有官方的 TorBrowser，Apple App Store 政策限制了这类应用。第三方解决方案如 Onion Browser 功能受限，安全模型也不同。

TorBrowser 安装指南（Android）

TorBrowser 在 Android 平台以 APK 形式分发，最新稳定版为 10.0.1688.1.3-Release，安装包大小 77.96MB，包名 org.torproject.torbrowser。

官方推荐的安装方式是从 Tor Project 官方网站下载，不要使用应用商店或第三方打包的版本。原因很直接：第三方版本可能被篡改、可能落后于官方安全更新，而官方下载页提供 PGP 签名和 SHA256 校验供用户验证完整性。TorBrowser 也提供 Google Play 和 F-Droid 渠道，但官方始终建议以官网为准。

Android 安装 TorBrowser 的前置条件很少——最低系统版本 Android 5.0 Lollipop，RAM 2GB 以上即可。如果是从官网下载的 APK 文件，安装前需要在手机设置里放行"允许安装未知来源应用"，然后找到下载好的 APK 文件点击安装。这个权限放行是 Android 系统的通用机制，只对本次安装生效，安装完成后可以随时在设置里关闭。

首次启动必须做的配置是连接 Tor 网络。打开 TorBrowser 后会进入 Tor Launcher 界面，默认情况下它会直接尝试连接 Tor 网络——如果你的网络环境能直接访问公开的 Tor 中继，几秒内就能连上。但如果在审查环境下，公开中继被封了，就需要配置网桥：在 Tor Launcher 点击"配置"，勾选"Tor 在我的国家受到审查"，选择"向 torproject.org 请求一个网桥"或"提供一个我所知道的网桥"，完成后点击"连接"。

安装后常见的坑主要有两个。第一，不要在 TorBrowser 里登录任何日常账号——包括你的 Google、微信、邮箱等，这些账号会把你的真实身份和 Tor 匿名身份关联起来。第二，不要手动修改 Cookie 和 JavaScript 的默认设置——TorBrowser 的保护策略是安全团队反复评估的最优解，关掉第一方隔离或取消会话清除等于自废武功。

适用人群画像

第一类：对在线隐私有实质性需求的用户。如果你上网时不想被广告网络跨站追踪、不想被搜索引擎记录完整的搜索历史、不想让网站知道你的真实 IP 地理位置，TorBrowser 是目前最可靠的选择。Mullvad Browser 和 Brave 也能做防追踪，但它们的匿名模型远不如 TorBrowser 彻底——它们不会把你的流量路由到 Tor 网络，ISP 依然能看到你在访问什么。

第二类：需要访问受限内容的用户。如果你所在的网络环境对某些新闻网站、研究资源有访问限制，TorBrowser 可以绕过这些限制。入口中继节点不需要在你的网络环境里可达——只要能连到至少一个出口中继，你就能访问互联网上的任何网站。

第三类：提交敏感信息或匿名举报的用户。如果你需要向某个平台提交可能会暴露自己的信息（比如举报、投诉、敏感研究），TorBrowser 能确保接收方无法通过你的 IP 地址定位到你。这是普通浏览器和 VPN 都做不到的——VPN 服务商知道你的真实 IP，目标网站也能看到 VPN 出口 IP 可能对应的地理范围。

不适合用 TorBrowser 的场景也很明确：日常主力浏览器（速度太慢、兼容性不好）、登录银行和工作账号（破坏匿名模型）、需要最快速度的在线活动（比如在线视频游戏、实时会议）。在这些场景下，用 TorBrowser 反而会带来不必要的麻烦。

本文为个人基于网络公开资料整理编写，非官方内容，仅供学习交流参考；软件版权归原作者所有，请支持正版；使用过程中遇到问题请查阅官方渠道，本文不承担任何责任。