关于 跳过证书验证 allowInsecure 参数被移除的说明

[2dust]

关于 跳过证书验证 allowInsecure 参数被移除的说明

---

📌 原因

Xray-core 在 v26.2.6 版本（2026年2月发布）中，正式移除了 TLS 配置中的 allowInsecure 参数。

官方说明：allowInsecure 已被迁移为 pinnedPeerCertSha256，请根据发行说明和文档更新你的配置。

allowInsecure: true 的本意是"跳过 TLS 证书验证"，这种做法存在一定的安全风险，因此 Xray 官方决定用更安全、更明确的证书固定（Certificate Pinning）机制来替代它。

---

🔴 现在的状况

自 2026 年 6 月 1 日 起，所有使用了新版 Xray 内核的用户，只要配置中存在 allowInsecure 字段等于是 true 且没有设置pinnedPeerCertSha256的，会出现以下报错，导致内核无法启动：

The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".
Please update your config(s) according to release note and documentation.

受影响的场景包括：

• 使用 Hysteria / Hysteria2 类型节点
• 使用任何在 TLS 设置中包含 allowInsecure 的节点配置
• 从订阅导入的节点（订阅链接中含有 insecure=1 或 allowInsecure=true 参数时，v2rayN 会自动写入配置，从而触发此错误）

---

✅ 解决方案

根据不同情况，有以下几种处理方式：

方案一：升级 v2rayN 至 7.22.5 / 升级 v2rayNG 至 2.2.3（临时应急）

v2rayN 7.22.5 版本已临时恢复对"跳过证书验证"功能的支持，可作为过渡期解决方案。

⚠️ 注意：

• 需要全新下载覆盖更新，不能直接在旧版上升级。
• 根据官方说明，Xray 将于 2026 年 8 月 1 日 彻底禁用 allowInsecure，届时此方案将不再有效，请提前准备长期解决方案。

📥 v2rayN 下载地址：https://github.com/2dust/v2rayN/releases/tag/7.22.5
📥 v2rayNG 下载地址：https://github.com/2dust/v2rayNG/releases/tag/2.2.3

---

方案二：关闭跳过证书验证（推荐·最简单）

如果你开启 allowInsecure 仅仅是为了"方便连接"，而服务器证书实际上是有效的，请直接在节点编辑页面中将"跳过证书验证"关闭（设为 false / 不勾选），保存后重试即可。

---

方案三：使用 pinnedPeerCertSha256 固定证书（最安全·长期方案）

这是官方推荐的替代方案。原理是预先计算并记录服务器证书的 SHA-256 指纹，Xray 连接时只要指纹匹配就放行，不依赖系统信任链，因此自签名证书也完全适用。

填写格式说明：
pinnedPeerCertSha256 支持两种格式，二选一即可，Xray 会自动处理：

• 纯十六进制（64位）：ae243d668ec9c7f74a0dcd1ad21c6676b4efe30c39728934b362093af886bf77
• OpenSSL 冒号分隔格式：AE:24:3D:66:8E:C9:...

⚠️ 第一步：确认你的协议类型

不同协议底层传输不同，获取证书指纹的方式不一样，请先对号入座：

协议类型	底层传输	获取方式
VLESS / VMess / Trojan / ShadowTLS + TLS	TCP	👉 见「TCP 协议获取方法」
Hysteria	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」
Hysteria2	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」

❌ 常见错误： openssl s_client 是 TCP 工具，Hysteria/Hysteria2 服务器只监听 UDP 端口，因此该命令对 Hysteria/Hysteria2 完全无法使用，强行运行只会卡住或报错，这是用户"怎么弄都不行"的根本原因。

---

🔵 TCP 协议获取方法（VLESS / VMess / Trojan 等）

在本地运行以下命令（需安装 OpenSSL，Windows 用户可使用 Git Bash 或 WSL）：

openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

示例输出：

SHA256 Fingerprint=AE:24:3D:66:8E:C9:C7:F7:4A:0D:CD:1A:D2:1C:66:76:B4:EF:E3:0C:39:72:89:34:B3:62:09:3A:F8:86:BF:77

取等号 = 后面的内容填入配置，前面的 SHA256 Fingerprint= 不要。

---

🟠 Hysteria / Hysteria2 获取方法

由于 Hysteria/Hysteria2 使用 UDP，无法用 openssl s_client 直接获取，有以下三种方式：

方式 A：从服务端证书文件计算（最可靠，推荐联系服务端管理员）

请服务端管理员提供 cert.pem 或 fullchain.pem 文件，在本地运行：

# 如果是单张证书文件
openssl x509 -fingerprint -sha256 -noout -in cert.pem

# 如果是证书链文件（fullchain），先提取第一张叶证书再计算
openssl x509 -fingerprint -sha256 -noout \
  -in <(openssl x509 -in fullchain.pem)

方式 B：借助同域名的 443 TCP 端口（服务器同时开放了 HTTPS 时）

如果 Hysteria2 服务器的域名同时在 TCP 443 端口提供了 HTTPS 服务，且使用的是同一张证书，可以借道 443 获取：

openssl s_client -connect 你的域名:443 -servername 你的域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

⚠️ 需确认 Hysteria2 与 HTTPS 使用的是同一张证书，否则指纹不一致。

方式 C：使用支持 QUIC 的工具（如 curl）

如果你的环境安装了支持 HTTP/3 的 curl：

# 先保存证书到文件
curl --http3 -k -w "%{certs}" -o /dev/null https://你的域名:端口 2>/dev/null \
  | grep -A 100 "Cert:" | openssl x509 -fingerprint -sha256 -noout

---

🔧 第二步：将指纹填入 v2rayN 节点配置

在 v2rayN 的节点编辑页面中，找到 TLS 相关设置 证书指纹，将上面获取到的指纹值（等号后面的部分）填入 pinnedPeerCertSha256 / 证书指纹 字段，保存后重新连接。

---

⏰ 注意：证书续签后指纹会变化

固定叶证书指纹有时效性问题，证书续签后哈希值会改变，需要重新填入：

证书类型	有效期	续签后是否需要更新
Let's Encrypt	约 90 天	✅ 需要更新
ZeroSSL 免费版	约 90 天	✅ 需要更新
商业付费证书	1～2 年	✅ 需要更新
自签名（长期）	自定义	不变

更稳定的进阶方案：固定中间 CA 的指纹

Xray-core 支持固定证书链中任意一张证书的哈希，包括中间 CA。中间 CA 通常数年才更换，稳定性远高于叶证书，适合不想频繁维护的用户：

# 查看完整证书链（需要 TCP 协议）
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 \
  -showcerts </dev/null 2>/dev/null
# 输出中第 2 段 -----BEGIN CERTIFICATE----- 即为中间 CA
# 将其保存为 intermediate.pem 后运行：
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem

---

📋 总结

项目	内容
被移除的参数	allowInsecure
替代参数	pinnedPeerCertSha256
从哪个版本起失效	Xray-core v26.2.6+
影响范围	所有使用 TLS 且配置了 allowInsecure 的节点
临时解法（有截止日期）	升级 v2rayN 至 7.22.5（过渡支持至 2026-08-01）
最简单的长期解法	关闭跳过证书验证（服务器证书有效时）
最推荐的长期解法	使用证书固定 pinnedPeerCertSha256
Hysteria2 注意事项	不能用 openssl s_client，需从证书文件计算或借助 443 端口
长期稳定方案	固定中间 CA 指纹，避免叶证书续签后频繁更新

---

如有更多疑问，可参考以下链接：

• Xray-core v26.2.6 发行说明
• v2rayN 7.22.5 发行说明
• v2rayNG 2.2.3 发行说明

[ppp2020]

用singbox是不是就可以了 不影响

[rlaoy]

可以

[ExShane]

请问怎么用啊？我没看到选择内核的选项。

[ie123610]

请问怎么用啊？我没看到选择内核的选项。

#9501 (reply in thread)

[ExShane]

请问怎么用啊？我没看到选择内核的选项。

#9501 (reply in thread)

谢谢，这个我看了下好像是电脑客户端的V2rayN的，不是手机端V2rayNG的。

[lanyu-211]

是的，我切换sing-box内核了正常用，不再使用xray内核就可以

[wubengda]

使用方案二后还是不可行。看不懂错误提示：
Xray 26.6.1 (Xray, Penetrates Everything.) 94ffd50 (go1.26.3 windows/amd64)
A unified platform for anti-censorship.
2026/06/04 12:15:02.106408 [Info] infra/conf/serial: Reading config: &{Name:configTest4777401771615374794.json Format:json}
Failed to start: main: failed to load config files: [configTest4777401771615374794.json] > infra/conf: failed to build outbound config with tag proxy > infra/conf: failed to build stream settings for outbound detour > infra/conf: Failed to build TLS config. > common/errors: The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256". Please update your config(s) according to release note and documentation.

[huangak]

原来是这个原因，但是我allowInsecure 设置 false还是上不了，算了还是用singbox吧

[2dust]

不是修改了allowInsecure 就行，需要服务端配好啊。
要么服务端有合法证书，要不自签一个

[huangak]

我用的机场（付费人家提供的服务器），那就是需要商家在服务器端设置合法证书吧。或者我自己自签一个是吧。但是说实在的那个自签命令我没看懂（ TCP 协议获取方法（VLESS / VMess / Trojan 等）） 我的服务器我看了下没有SIN 域名啊。那一行是空白

[2dust]

机场你处理不了，让机场解决

[huangak]

好的，还好我有几个机场，其中一个解决了哈哈。机场直接弄的。用着先，这样挺好先给过渡期。

[adsl95]

经过实际测试方法2关闭证书验证也还是一样的错误提示.只能降低核心到26.1.23才正常用.
不知道具体原因,反正和楼上一样关闭也没效果.不是bug就是兼容性方面问题吧,大概.....

[berrychiao71-tech]

关闭跳过证书验证得保证服务端有非自签名证书啊，如果是自签名证书你没填固定证书sha256连不上啊。如果是纯ip那应该也会报错。降低核心到26.1.x能用只能说是服务端版本低或者配置失误

[adsl95]

关闭跳过证书验证得保证服务端有非自签名证书啊，如果是自签名证书你没填固定证书sha256连不上啊。如果是纯ip那应该也会报错。降低核心到26.1.x能用只能说是服务端版本低或者配置失误

其实我也不知道为什么,
安卓端用v2rayng就能正常使用,都是同一个鸡厂.
至少应该不是上面的人说的服务器不支持吧,大概.
今天试了一下新核心还是一样.......

[qinYong999]

为什么我更新完后是这个错误:
Xray 26.6.1 (Xray, Penetrates Everything.) 9f96d16 (go1.26.3 windows/amd64)
A unified platform for anti-censorship.
2026/06/04 23:47:54.606265 [Info] infra/conf/serial: Reading config: &{Name:configTest4616712612348879979.json Format:json}
Failed to start: main: failed to load config files: [configTest4616712612348879979.json] > infra/conf: failed to build outbound config with tag proxy > infra/conf: failed to build stream settings for outbound detour > infra/conf: failed to build mask with type header-dtls > infra/conf: unknown config id: header-dtls

[DHR60]

还真有人用 kcp 啊，原本优先级都没拉太高打算过几天再适配来着

[tastypear]

项目	内容
最简单的长期解法	使用旧版Xray 26.1.23
最推荐的长期解法	使用Singbox

[willray88]

为什么我选择了singbox还是会有xray在8月1号的提示呢？

[2dust]

因为你选择了 singbox 还是不安全，这个提示会一直提醒；

[shemengjia]

因为你选择了 singbox 还是不安全，这个提示会一直提醒；

我也是7.22.5版本，用hysteria2这个类型的节点选择了sing-box能用但是会弹提醒，这种情况应该怎么操作啊

[qiyun3800]

电脑版这些，是不是呀

[Kc2353]

电脑版这些，是不是呀

@qiyun3800 你图呢？

[cqash]

v2rayN的参数设置：默认跳过证数验证 的选项应该在更新中取消掉这个选项，刚刚我折腾老半天才发现我之前勾选了这个选项，导致新导入的配置全部不能用

[2dust]

有这个计划了

[fastwalkergy]

有这个计划了

7.23.3真的有这个设置吗？我找了好半天没找到，订阅编辑也没有这个选项

[te225]

---

批量测试真连接时所有节点显示-1

在批量测试“真连接”时，
只要节点配置中包含 allowInsecure，Xray 就会直接报错退出：

Failed to build TLS config.
The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".

这会导致：

• Xray 无法成功启动
• 所有节点都无法被加载
• 测试结果全部显示为 -1
• 实际上测试根本没有开始执行

目前新版 Xray 已完全移除 allowInsecure，因此只要订阅里有一个节点包含该字段，整个批量测试就会失败。

✔ 建议

在批量测试时：

1. 自动跳过包含 allowInsecure 的节点
   这些节点本身已经不兼容新版 Xray，继续测试意义不大。

2. 或在测试前自动移除该字段
   例如将其替换为：

   "pinnedPeerCertSha256": []
   

3. 至少不要因为单个节点的 allowInsecure 导致所有节点测试失败

目前带有 allowInsecure: true 的节点已经不多了，完全可以忽略它们，让其他节点正常测试。

这样可以避免出现“所有节点都显示 -1”的情况，也能提升批量测试的稳定性和用户体验。

---

[jiuqianyuan]

@2dust 大佬记得修复下这个

v2rayN/v2rayN/ServiceLib/Services/CoreConfig/V2ray/V2rayOutboundService.cs

Line 383 in 8147b39

allowInsecure = _node.GetAllowInsecure(),

[DHR60]

@2dust Build Core Config Context 做个获取核心版本是不是更好？
配置生成上仍保持目前的以最新版为主，尽可能向后兼容。
Core Version 只用于这种 break change 的生成分支

[2dust]

我不希望支持这样的功能代码。
因为就目前用户的 issue 提交质量，加上分支后可能解决问题就更麻烦了；维护时间更多

[shemengjia]

哥，一劳永逸的是不是用这个Xray 26.1.23内核就不会提示，我想问下这个版本内核的xray版本是哪个，我回退下

[shemengjia]

下这个就行了 https://github.com/XTLS/Xray-core/releases/download/v26.1.23/Xray-windows-64.zip

这个不是以前带core的版本么，把里面bin文件夹xray替换到我这个版本么，还是整个软件更换

[shemengjia]

下这个就行了 https://github.com/XTLS/Xray-core/releases/download/v26.1.23/Xray-windows-64.zip

不行老哥，我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里，还是不行，不是26.1.23

[shemengjia]

下这个就行了 https://github.com/XTLS/Xray-core/releases/download/v26.1.23/Xray-windows-64.zip

这个杂用啊哥，请教下

[ie123610]

我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里

旧的文件全部删掉 新的文件都复制过去 不要只替换部分文件
操作完后重启v2rayN

[shemengjia]

我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里

旧的文件全部删掉 新的文件都复制过去 不要只替换部分文件 操作完后重启v2rayN

不对啊，我现在的bin-xray文件夹里就一个exe文件和一个wintun.dll，就这2个，我一开始把这2个单独替换，不行，后来把整个文件夹里的都复制进去，也不行

[eirik-lu]

Xhttp_reality会有这个影响吗？

[Kc2353]

不会，reality实际上相当于强制要求pin证书（即其中填写的password/publickey），从原理上不可能allowinsecure跳过验证

[bitter999]

赶紧解决啊，只能使用sing-box和更新证书，但是也麻烦。

[2dust]

解决方案都给出了，如果不在乎安全回滚版本一直用就行了。

[BaseBlank]

作者写的不是很清楚吗？你看不见？
作者有啥责任去替你解决问题？
没礼貌，没教养。

[CarterLeeAlt]

伸手巨婴，没礼貌，也没教养

[PendulumLX]

我用的singbox的hy2，获取证书指纹不太方便用这上面贴出来的那条命令，下面这个是我在其他地方找的：
openssl x509 -noout -fingerprint -sha256 -in 证书文件完整路径

希望能帮到一部分兄弟

[DHR60]

sing-box 不支持证书指纹，建议填写完整证书

[PendulumLX]

sing-box 不支持证书指纹，建议填写完整证书

那完整证书该怎么整呢
是直接打开证书文件然后复制里面的内容吗？

[DHR60]

cat 证书文件完整路径

直接粘贴进去应该就行

[PendulumLX]

cat 证书文件完整路径

直接粘贴进去应该就行

ok，谢谢，我试试

[eslco]

cat 证书文件完整路径
直接粘贴进去应该就行

ok，谢谢，我试试

Hii怎么样了 有效吗请问?

[mkzxcvbnm]

误导人啊 照着方案三：使用 pinnedPeerCertSha256 固定证书 获取了证书指纹 怎么弄都不行
最后发现还是要完整证书

[Kc2353]

那倒是直接填写证书方便
看的这方面单纯“指纹”倒是基本都是公钥哈希，不知xray默认是全证书哈希这方面是处于什么考量

[DHR60]

目前都是用的 证书指纹，包括 xray, mihomo, hy2 等
就 sing-box 特立独行用个公钥哈希，target = sing-box 的转换器生成 sing-box 配置都是 allowInsecure，但凡被中间人都是明文的
虽然确实有好处，证书轮换时公钥哈希不会变

[RPRX]

证书轮换主要就是为了换公私钥吧，同一对不能信任太久以防未知泄露，“证书轮换时公钥哈希不会变”就是没换私钥，轮换了个寂寞

[DHR60]

renew --reuse-key，HPKP 在大部分领域应该已经被废弃了吧，现在基本都是固定证书指纹

[Kc2353]

查了一下确实，ai说pin公钥的常见需求是因为有时候需要换域名不改公钥，但是这里域名（SNI）改了那应该也要修改配置了

[pooneyy]

但是 openssl s_client -connect 是能获取到证书的。这是什么原因？

[2dust]

XTLS/Xray-core#716

VLESS
4.4.4 pcs & vcn （@RPRX 添加于 2026-1-18，修改于 2026-2-2）
TLS CA/leaf 证书 SHA-256 指纹，对应配置文件中的 pinnedPeerCertSha256 项目。

[iloveandyegg]

如果你自己能获取，直接填入就可以了

openssl s_client -connect 命令行能获取归能获取，但是每一次更新订阅，少则几十，多则上百个节点，这么一套弄下来，真蛮麻烦的呢

你可以自己本地搭建一个我的转换器https://github.com/iloveandyegg/subscription-cert-converter

[pffang]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

[BaseBlank]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

还是换了吧，这种不负责任的机场，没有保留的必要

[lanyu-211]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

不行就换clash用呗，反正都是机场的节点，也没什么要求

[tonykongcn]

各位大佬，小白伸手党请教：你的服务器IP:端口、你的SNI域名，这几个参数在哪里获取？多谢！

[pooneyy]

双击节点

[lucas-Yang-glitch]

大佬你好我想问下我之前照网上设置的配置的是第三方的域名，是不是要自己申请的域名去弄这个证书呢 ？

[ie123610]

非自建服务器临时过渡方案小结

由于上游依然在下发含有 allowInsecure 参数的配置
此选项会导致 xray 核心报错无法启动 解决方法有二 分别是 xray 降级和换用 sing_box

---

Xray 核心降级

将 xray 核心降级的到不会因为 allowInsecure 参数而报错的版本
可以使用 v26.1.23 版本 发布地址：链接

• Xray-windows-32.zip
• Xray-windows-64.zip

下载后解压文件 复制文件夹内的所有文件
退出 v2rayN 打开 v2rayN 的安装目录 找到 bin 文件夹 点开 找到 xray 文件夹
删除文件夹中的所有内容 粘贴刚才复制的文件

启动 v2rayN 检视运行日志查看 xray 版本
若显示 26.1.23 则替换成功

截图

---

换用 sing_box

如果降级不成功或者嫌麻烦 可以直接换用 sing_box 核心
点开 设置 》参数设置 》 core类型设置
将用到TLS的协议所使用的核心修改为 sing-box 即可

截图

---

从新安装

如果使用上述两种方法后 测试节点延迟依然为 -1 无法连接 可以尝试从新安装 v2rayN
备份 v2rayN 目录下的 binConfigs 和 guiConfigs 文件夹以保留配置文件

删除旧版本的 v2rayN 下载最新版的 v2rayN
粘贴 binConfigs 和 guiConfigs 文件夹 到新版本目录中
启动软件 从新订阅节点并重复前两个方法 应该可以解决问题

[eslco]

终于翻到个实用贴 顶了~

[nabel771905]

Please change to Arabic language

[nabel771905]

Chance to English language

[mahdirzaii010-gif]

关于 跳过证书验证 allowInsecure 参数被移除的说明

---

📌 原因

Xray-core 在 v26.2.6 版本（2026年2月发布）中，正式移除了 TLS 配置中的 allowInsecure 参数。

官方说明：allowInsecure 已被迁移为 pinnedPeerCertSha256，请根据发行说明和文档更新你的配置。

allowInsecure: true 的本意是"跳过 TLS 证书验证"，这种做法存在一定的安全风险，因此 Xray 官方决定用更安全、更明确的证书固定（Certificate Pinning）机制来替代它。

---

🔴 现在的状况

自 2026 年 6 月 1 日 起，所有使用了新版 Xray 内核的用户，只要配置中存在 allowInsecure 字段等于是 true 且没有设置pinnedPeerCertSha256的，会出现以下报错，导致内核无法启动：

The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".
Please update your config(s) according to release note and documentation.

受影响的场景包括：

• 使用 Hysteria / Hysteria2 类型节点
• 使用任何在 TLS 设置中包含 allowInsecure 的节点配置
• 从订阅导入的节点（订阅链接中含有 insecure=1 或 allowInsecure=true 参数时，v2rayN 会自动写入配置，从而触发此错误）

---

✅ 解决方案

根据不同情况，有以下几种处理方式：

方案一：升级 v2rayN 至 7.22.5 / 升级 v2rayNG 至 2.2.3（临时应急）

v2rayN 7.22.5 版本已临时恢复对"跳过证书验证"功能的支持，可作为过渡期解决方案。

⚠️ 注意：

• 需要全新下载覆盖更新，不能直接在旧版上升级。
• 根据官方说明，Xray 将于 2026 年 8 月 1 日 彻底禁用 allowInsecure，届时此方案将不再有效，请提前准备长期解决方案。

📥 v2rayN 下载地址：https://github.com/2dust/v2rayN/releases/tag/7.22.5
📥 v2rayNG 下载地址：https://github.com/2dust/v2rayNG/releases/tag/2.2.3

---

方案二：关闭跳过证书验证（推荐·最简单）

如果你开启 allowInsecure 仅仅是为了"方便连接"，而服务器证书实际上是有效的，请直接在节点编辑页面中将"跳过证书验证"关闭（设为 false / 不勾选），保存后重试即可。

---

方案三：使用 pinnedPeerCertSha256 固定证书（最安全·长期方案）

这是官方推荐的替代方案。原理是预先计算并记录服务器证书的 SHA-256 指纹，Xray 连接时只要指纹匹配就放行，不依赖系统信任链，因此自签名证书也完全适用。

填写格式说明：
pinnedPeerCertSha256 支持两种格式，二选一即可，Xray 会自动处理：

• 纯十六进制（64位）：ae243d668ec9c7f74a0dcd1ad21c6676b4efe30c39728934b362093af886bf77
• OpenSSL 冒号分隔格式：AE:24:3D:66:8E:C9:...

⚠️ 第一步：确认你的协议类型

不同协议底层传输不同，获取证书指纹的方式不一样，请先对号入座：

协议类型	底层传输	获取方式
VLESS / VMess / Trojan / ShadowTLS + TLS	TCP	👉 见「TCP 协议获取方法」
Hysteria	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」
Hysteria2	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」

❌ 常见错误： openssl s_client 是 TCP 工具，Hysteria/Hysteria2 服务器只监听 UDP 端口，因此该命令对 Hysteria/Hysteria2 完全无法使用，强行运行只会卡住或报错，这是用户"怎么弄都不行"的根本原因。

---

🔵 TCP 协议获取方法（VLESS / VMess / Trojan 等）

在本地运行以下命令（需安装 OpenSSL，Windows 用户可使用 Git Bash 或 WSL）：

openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

示例输出：

SHA256 Fingerprint=AE:24:3D:66:8E:C9:C7:F7:4A:0D:CD:1A:D2:1C:66:76:B4:EF:E3:0C:39:72:89:34:B3:62:09:3A:F8:86:BF:77

取等号 = 后面的内容填入配置，前面的 SHA256 Fingerprint= 不要。

---

🟠 Hysteria / Hysteria2 获取方法

由于 Hysteria/Hysteria2 使用 UDP，无法用 openssl s_client 直接获取，有以下三种方式：

方式 A：从服务端证书文件计算（最可靠，推荐联系服务端管理员）

请服务端管理员提供 cert.pem 或 fullchain.pem 文件，在本地运行：

# 如果是单张证书文件
openssl x509 -fingerprint -sha256 -noout -in cert.pem

# 如果是证书链文件（fullchain），先提取第一张叶证书再计算
openssl x509 -fingerprint -sha256 -noout \
  -in <(openssl x509 -in fullchain.pem)

方式 B：借助同域名的 443 TCP 端口（服务器同时开放了 HTTPS 时）

如果 Hysteria2 服务器的域名同时在 TCP 443 端口提供了 HTTPS 服务，且使用的是同一张证书，可以借道 443 获取：

openssl s_client -connect 你的域名:443 -servername 你的域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

⚠️ 需确认 Hysteria2 与 HTTPS 使用的是同一张证书，否则指纹不一致。

方式 C：使用支持 QUIC 的工具（如 curl）

如果你的环境安装了支持 HTTP/3 的 curl：

# 先保存证书到文件
curl --http3 -k -w "%{certs}" -o /dev/null https://你的域名:端口 2>/dev/null \
  | grep -A 100 "Cert:" | openssl x509 -fingerprint -sha256 -noout

---

🔧 第二步：将指纹填入 v2rayN 节点配置

在 v2rayN 的节点编辑页面中，找到 TLS 相关设置 证书指纹，将上面获取到的指纹值（等号后面的部分）填入 pinnedPeerCertSha256 / 证书指纹 字段，保存后重新连接。

---

⏰ 注意：证书续签后指纹会变化

固定叶证书指纹有时效性问题，证书续签后哈希值会改变，需要重新填入：

证书类型	有效期	续签后是否需要更新
Let's Encrypt	约 90 天	✅ 需要更新
ZeroSSL 免费版	约 90 天	✅ 需要更新
商业付费证书	1～2 年	✅ 需要更新
自签名（长期）	自定义	不变

更稳定的进阶方案：固定中间 CA 的指纹

Xray-core 支持固定证书链中任意一张证书的哈希，包括中间 CA。中间 CA 通常数年才更换，稳定性远高于叶证书，适合不想频繁维护的用户：

# 查看完整证书链（需要 TCP 协议）
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 \
  -showcerts </dev/null 2>/dev/null
# 输出中第 2 段 -----BEGIN CERTIFICATE----- 即为中间 CA
# 将其保存为 intermediate.pem 后运行：
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem

---

📋 总结

项目	内容
被移除的参数	allowInsecure
替代参数	pinnedPeerCertSha256
从哪个版本起失效	Xray-core v26.2.6+
影响范围	所有使用 TLS 且配置了 allowInsecure 的节点
临时解法（有截止日期）	升级 v2rayN 至 7.22.5（过渡支持至 2026-08-01）
最简单的长期解法	关闭跳过证书验证（服务器证书有效时）
最推荐的长期解法	使用证书固定 pinnedPeerCertSha256
Hysteria2 注意事项	不能用 openssl s_client，需从证书文件计算或借助 443 端口
长期稳定方案	固定中间 CA 指纹，避免叶证书续签后频繁更新

---

如有更多疑问，可参考以下链接：

• Xray-core v26.2.6 发行说明
• v2rayN 7.22.5 发行说明
• v2rayNG 2.2.3 发行说明

[2dust]

机场主和机场用户请重点关注：

请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。
AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。

如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

[pooneyy]

这个告示不容易看见，如果您可以在 README 中置顶就更好了

[BraveMomo]

机场主和机场用户请重点关注：

请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。 AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。

如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

那v2的软件里的机场广告里，就应该只推荐满足需求的机场啊，现在推广的都满足吗？

[BaseBlank]

机场主和机场用户请重点关注：
请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。 AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。
如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

那v2的软件里的机场广告里，就应该只推荐满足需求的机场啊，现在推广的都满足吗？

作者脾气真好，你这种无理取闹的人也受得了，理解singbox作者为啥这么情绪化了，换做是我，遇到你这样的，直接软件停更不开发了；
作者开源软件，没要你一点报酬，你在这里指指点点什么；
技术上是一点点都不懂，只有情绪化输出，没毕业的臭小鬼。

[recolic]

装好不要升级就好了。

不同人有不同的需求、不同的应用场景，有的场景注重方便、有的场景注重安全、有的场景注重快速。
强制所有人都必须符合自己的安全标准，这是个糟糕的决定。
对于内核开发者尤其是这样，因为同一款程序会被不同的人用在不同场景。

[suyan-bingtao]

您好，我已经通过
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名
-showcerts </dev/null 2>/dev/null
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem
这两条命令获取了那个fingerprint 是把这个=号后面的内容去掉:填写到固定证书--》证书指纹(SHA256)里面吗 我填写后节点就连不上了 我是学油管上不良林的教程自己搭建的vps，是有什么地方没配置好吗

[Kc2353]

自己建的建议直接用真证书，没域名可以acme改为IP证书，除非你需要特定域名的自签名证书（大部分设计是即使你用错误域名连接服务器也会返回默认的证书，这时候只要“verify cert by name”即可“以第三方SNI连接同时以特定域名验证证书”），另外建议直接把证书文件复制到本地按“方式A”计算指纹，openssl直接连接获取的不一定可靠

[fqfqgo]

anytls 也警告提示了，到时候不会不能用了吧？anytls 是自动使用singbox，应该不受影响吧

anytls 是否支持 pinnedPeerCertSha256

[fqfqgo]

anytls 也警告提示了，到时候不会不能用了吧？anytls 是自动使用singbox，应该不受影响吧

anytls 是否支持 pinnedPeerCertSha256

pinnedPeerCertSha256 是v2rayn 传给 xray core处理的，v2rayn 自己不验证，所以 对anytls 节点 警告没用，即使配置了 pinnedPeerCertSha256 也没用。

[2dust]

anytls 能继续用，但是提示不会移除，会一直提醒到我们全面移除 allowInsecure 为止

[fqfqgo]

那全面移除 allowInsecure 是仅仅针对xray core,还是包括singbox，如果整个软件全面移除了allowInsecure ，singbox接收不到allowInsecure ，那自签证书的anytls 就不能用了啊

[berrychiao71-tech]

用自签名证书才需要注意吧。正儿八经的证书不需要理会，配置分享链接中也不会有相关参数。
现在面板不配置自己的域名，用公网ip也能申请let‘s encrpy证书，但是时间很短，但也应该无影响。

[berrychiao71-tech]

将自签名证书的sha256写入v2rayN配置中就行。要注意不同内核需要的格式好像不一样，hex格式和base64都试试

[2dust]

你说的对，正常的证书什么都不用管

[zhongpingaini-stack]

Google pixel 6A安装失败什么情况

[mS0gxokXEsg5ysJ7J79kzWiqO1fHgFA6ZR8eEls]

用了CDN是不是用不了pinnedPeerCertSha256?

[Kc2353]

过CDN要验证的是真证书啊，不用pin啊，如果你说的是“实际使用的证书的SAN与客户端填写的SNI不一致”导致需要跳过，可以用vcn(verify cert by name)