关于 跳过证书验证 allowInsecure 参数被移除的说明

[2dust]

关于 跳过证书验证 allowInsecure 参数被移除的说明

---

📌 原因

Xray-core 在 v26.2.6 版本（2026年2月发布）中，正式移除了 TLS 配置中的 allowInsecure 参数。

官方说明：allowInsecure 已被迁移为 pinnedPeerCertSha256，请根据发行说明和文档更新你的配置。

allowInsecure: true 的本意是"跳过 TLS 证书验证"，这种做法存在一定的安全风险，因此 Xray 官方决定用更安全、更明确的证书固定（Certificate Pinning）机制来替代它。

---

🔴 现在的状况

自 2026 年 6 月 1 日 起，所有使用了新版 Xray 内核的用户，只要配置中存在 allowInsecure 字段等于是 true 且没有设置pinnedPeerCertSha256的，会出现以下报错，导致内核无法启动：

The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".
Please update your config(s) according to release note and documentation.

受影响的场景包括：

• 使用 Hysteria / Hysteria2 类型节点
• 使用任何在 TLS 设置中包含 allowInsecure 的节点配置
• 从订阅导入的节点（订阅链接中含有 insecure=1 或 allowInsecure=true 参数时，v2rayN 会自动写入配置，从而触发此错误）

---

✅ 解决方案

根据不同情况，有以下几种处理方式：

方案一：升级 v2rayN 至 7.22.5 / 升级 v2rayNG 至 2.2.3（临时应急）

v2rayN 7.22.5 版本已临时恢复对"跳过证书验证"功能的支持，可作为过渡期解决方案。

⚠️ 注意：

• 需要全新下载覆盖更新，不能直接在旧版上升级。
• 根据官方说明，Xray 将于 2026 年 8 月 1 日 彻底禁用 allowInsecure，届时此方案将不再有效，请提前准备长期解决方案。

📥 v2rayN 下载地址：https://github.com/2dust/v2rayN/releases/tag/7.22.5
📥 v2rayNG 下载地址：https://github.com/2dust/v2rayNG/releases/tag/2.2.3

---

方案二：关闭跳过证书验证（推荐·最简单）

如果你开启 allowInsecure 仅仅是为了"方便连接"，而服务器证书实际上是有效的，请直接在节点编辑页面中将"跳过证书验证"关闭（设为 false / 不勾选），保存后重试即可。

---

方案三：使用 pinnedPeerCertSha256 固定证书（最安全·长期方案）

这是官方推荐的替代方案。原理是预先计算并记录服务器证书的 SHA-256 指纹，Xray 连接时只要指纹匹配就放行，不依赖系统信任链，因此自签名证书也完全适用。

填写格式说明：
pinnedPeerCertSha256 支持两种格式，二选一即可，Xray 会自动处理：

• 纯十六进制（64位）：ae243d668ec9c7f74a0dcd1ad21c6676b4efe30c39728934b362093af886bf77
• OpenSSL 冒号分隔格式：AE:24:3D:66:8E:C9:...

⚠️ 第一步：确认你的协议类型

不同协议底层传输不同，获取证书指纹的方式不一样，请先对号入座：

协议类型	底层传输	获取方式
VLESS / VMess / Trojan / ShadowTLS + TLS	TCP	👉 见「TCP 协议获取方法」
Hysteria	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」
Hysteria2	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」

❌ 常见错误： openssl s_client 是 TCP 工具，Hysteria/Hysteria2 服务器只监听 UDP 端口，因此该命令对 Hysteria/Hysteria2 完全无法使用，强行运行只会卡住或报错，这是用户"怎么弄都不行"的根本原因。

---

🔵 TCP 协议获取方法（VLESS / VMess / Trojan 等）

在本地运行以下命令（需安装 OpenSSL，Windows 用户可使用 Git Bash 或 WSL）：

openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

示例输出：

SHA256 Fingerprint=AE:24:3D:66:8E:C9:C7:F7:4A:0D:CD:1A:D2:1C:66:76:B4:EF:E3:0C:39:72:89:34:B3:62:09:3A:F8:86:BF:77

取等号 = 后面的内容填入配置，前面的 SHA256 Fingerprint= 不要。

---

🟠 Hysteria / Hysteria2 获取方法

由于 Hysteria/Hysteria2 使用 UDP，无法用 openssl s_client 直接获取，有以下三种方式：

方式 A：从服务端证书文件计算（最可靠，推荐联系服务端管理员）

请服务端管理员提供 cert.pem 或 fullchain.pem 文件，在本地运行：

# 如果是单张证书文件
openssl x509 -fingerprint -sha256 -noout -in cert.pem

# 如果是证书链文件（fullchain），先提取第一张叶证书再计算
openssl x509 -fingerprint -sha256 -noout \
  -in <(openssl x509 -in fullchain.pem)

方式 B：借助同域名的 443 TCP 端口（服务器同时开放了 HTTPS 时）

如果 Hysteria2 服务器的域名同时在 TCP 443 端口提供了 HTTPS 服务，且使用的是同一张证书，可以借道 443 获取：

openssl s_client -connect 你的域名:443 -servername 你的域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

⚠️ 需确认 Hysteria2 与 HTTPS 使用的是同一张证书，否则指纹不一致。

方式 C：使用支持 QUIC 的工具（如 curl）

如果你的环境安装了支持 HTTP/3 的 curl：

# 先保存证书到文件
curl --http3 -k -w "%{certs}" -o /dev/null https://你的域名:端口 2>/dev/null \
  | grep -A 100 "Cert:" | openssl x509 -fingerprint -sha256 -noout

---

🔧 第二步：将指纹填入 v2rayN 节点配置

在 v2rayN 的节点编辑页面中，找到 TLS 相关设置 证书指纹，将上面获取到的指纹值（等号后面的部分）填入 pinnedPeerCertSha256 / 证书指纹 字段，保存后重新连接。

---

⏰ 注意：证书续签后指纹会变化

固定叶证书指纹有时效性问题，证书续签后哈希值会改变，需要重新填入：

证书类型	有效期	续签后是否需要更新
Let's Encrypt	约 90 天	✅ 需要更新
ZeroSSL 免费版	约 90 天	✅ 需要更新
商业付费证书	1～2 年	✅ 需要更新
自签名（长期）	自定义	不变

更稳定的进阶方案：固定中间 CA 的指纹

Xray-core 支持固定证书链中任意一张证书的哈希，包括中间 CA。中间 CA 通常数年才更换，稳定性远高于叶证书，适合不想频繁维护的用户：

# 查看完整证书链（需要 TCP 协议）
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 \
  -showcerts </dev/null 2>/dev/null
# 输出中第 2 段 -----BEGIN CERTIFICATE----- 即为中间 CA
# 将其保存为 intermediate.pem 后运行：
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem

---

📋 总结

项目	内容
被移除的参数	allowInsecure
替代参数	pinnedPeerCertSha256
从哪个版本起失效	Xray-core v26.2.6+
影响范围	所有使用 TLS 且配置了 allowInsecure 的节点
临时解法（有截止日期）	升级 v2rayN 至 7.22.5（过渡支持至 2026-08-01）
最简单的长期解法	关闭跳过证书验证（服务器证书有效时）
最推荐的长期解法	使用证书固定 pinnedPeerCertSha256
Hysteria2 注意事项	不能用 openssl s_client，需从证书文件计算或借助 443 端口
长期稳定方案	固定中间 CA 指纹，避免叶证书续签后频繁更新

---

如有更多疑问，可参考以下链接：

• Xray-core v26.2.6 发行说明
• v2rayN 7.22.5 发行说明
• v2rayNG 2.2.3 发行说明

[ppp2020]

用singbox是不是就可以了 不影响

[ExShane]

请问怎么用啊？我没看到选择内核的选项。

[ie123610]

请问怎么用啊？我没看到选择内核的选项。

#9501 (reply in thread)

[ExShane]

请问怎么用啊？我没看到选择内核的选项。

#9501 (reply in thread)

谢谢，这个我看了下好像是电脑客户端的V2rayN的，不是手机端V2rayNG的。

[lanyu-211]

是的，我切换sing-box内核了正常用，不再使用xray内核就可以

[wuzhozho]

几百个节点天天刷新，我能一个个天天去关闭

[wubengda]

使用方案二后还是不可行。看不懂错误提示：
Xray 26.6.1 (Xray, Penetrates Everything.) 94ffd50 (go1.26.3 windows/amd64)
A unified platform for anti-censorship.
2026/06/04 12:15:02.106408 [Info] infra/conf/serial: Reading config: &{Name:configTest4777401771615374794.json Format:json}
Failed to start: main: failed to load config files: [configTest4777401771615374794.json] > infra/conf: failed to build outbound config with tag proxy > infra/conf: failed to build stream settings for outbound detour > infra/conf: Failed to build TLS config. > common/errors: The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256". Please update your config(s) according to release note and documentation.

[huangak]

我用的机场（付费人家提供的服务器），那就是需要商家在服务器端设置合法证书吧。或者我自己自签一个是吧。但是说实在的那个自签命令我没看懂（ TCP 协议获取方法（VLESS / VMess / Trojan 等）） 我的服务器我看了下没有SIN 域名啊。那一行是空白

[2dust]

机场你处理不了，让机场解决

[huangak]

好的，还好我有几个机场，其中一个解决了哈哈。机场直接弄的。用着先，这样挺好先给过渡期。

[KntsGliid]

好的，还好我有几个机场，其中一个解决了哈哈。机场直接弄的。用着先，这样挺好先给过渡期。

请教一下老哥用的哪个机场解决了呢

[Kc2353]

@KntsGliid 据我所知，赔钱, 1分, 1元, 以及良心云目前没有这个问题

[FoxZzzzzzz]

采用CloudFlare签发的15年证书可以吗？

[adsl95]

经过实际测试方法2关闭证书验证也还是一样的错误提示.只能降低核心到26.1.23才正常用.
不知道具体原因,反正和楼上一样关闭也没效果.不是bug就是兼容性方面问题吧,大概.....

[berrychiao71-tech]

关闭跳过证书验证得保证服务端有非自签名证书啊，如果是自签名证书你没填固定证书sha256连不上啊。如果是纯ip那应该也会报错。降低核心到26.1.x能用只能说是服务端版本低或者配置失误

[adsl95]

关闭跳过证书验证得保证服务端有非自签名证书啊，如果是自签名证书你没填固定证书sha256连不上啊。如果是纯ip那应该也会报错。降低核心到26.1.x能用只能说是服务端版本低或者配置失误

其实我也不知道为什么,
安卓端用v2rayng就能正常使用,都是同一个鸡厂.
至少应该不是上面的人说的服务器不支持吧,大概.
今天试了一下新核心还是一样.......

[qinYong999]

为什么我更新完后是这个错误:
Xray 26.6.1 (Xray, Penetrates Everything.) 9f96d16 (go1.26.3 windows/amd64)
A unified platform for anti-censorship.
2026/06/04 23:47:54.606265 [Info] infra/conf/serial: Reading config: &{Name:configTest4616712612348879979.json Format:json}
Failed to start: main: failed to load config files: [configTest4616712612348879979.json] > infra/conf: failed to build outbound config with tag proxy > infra/conf: failed to build stream settings for outbound detour > infra/conf: failed to build mask with type header-dtls > infra/conf: unknown config id: header-dtls

[DHR60]

还真有人用 kcp 啊，原本优先级都没拉太高打算过几天再适配来着

[tastypear]

项目	内容
最简单的长期解法	使用旧版Xray 26.1.23
最推荐的长期解法	使用Singbox

[willray88]

为什么我选择了singbox还是会有xray在8月1号的提示呢？

[2dust]

因为你选择了 singbox 还是不安全，这个提示会一直提醒；

[shemengjia]

因为你选择了 singbox 还是不安全，这个提示会一直提醒；

我也是7.22.5版本，用hysteria2这个类型的节点选择了sing-box能用但是会弹提醒，这种情况应该怎么操作啊

[qiyun3800]

电脑版这些，是不是呀

[Kc2353]

电脑版这些，是不是呀

@qiyun3800 你图呢？

[cqash]

v2rayN的参数设置：默认跳过证数验证 的选项应该在更新中取消掉这个选项，刚刚我折腾老半天才发现我之前勾选了这个选项，导致新导入的配置全部不能用

[2dust]

有这个计划了

[fastwalkergy]

有这个计划了

7.23.3真的有这个设置吗？我找了好半天没找到，订阅编辑也没有这个选项

[te225]

---

批量测试真连接时所有节点显示-1

在批量测试“真连接”时，
只要节点配置中包含 allowInsecure，Xray 就会直接报错退出：

Failed to build TLS config.
The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".

这会导致：

• Xray 无法成功启动
• 所有节点都无法被加载
• 测试结果全部显示为 -1
• 实际上测试根本没有开始执行

目前新版 Xray 已完全移除 allowInsecure，因此只要订阅里有一个节点包含该字段，整个批量测试就会失败。

✔ 建议

在批量测试时：

1. 自动跳过包含 allowInsecure 的节点
   这些节点本身已经不兼容新版 Xray，继续测试意义不大。

2. 或在测试前自动移除该字段
   例如将其替换为：

   "pinnedPeerCertSha256": []
   

3. 至少不要因为单个节点的 allowInsecure 导致所有节点测试失败

目前带有 allowInsecure: true 的节点已经不多了，完全可以忽略它们，让其他节点正常测试。

这样可以避免出现“所有节点都显示 -1”的情况，也能提升批量测试的稳定性和用户体验。

---

[jiuqianyuan]

@2dust 大佬记得修复下这个

v2rayN/v2rayN/ServiceLib/Services/CoreConfig/V2ray/V2rayOutboundService.cs

Line 383 in 8147b39

allowInsecure = _node.GetAllowInsecure(),

[DHR60]

@2dust Build Core Config Context 做个获取核心版本是不是更好？
配置生成上仍保持目前的以最新版为主，尽可能向后兼容。
Core Version 只用于这种 break change 的生成分支

[2dust]

我不希望支持这样的功能代码。
因为就目前用户的 issue 提交质量，加上分支后可能解决问题就更麻烦了；维护时间更多

[shemengjia]

哥，一劳永逸的是不是用这个Xray 26.1.23内核就不会提示，我想问下这个版本内核的xray版本是哪个，我回退下

[shemengjia]

下这个就行了 https://github.com/XTLS/Xray-core/releases/download/v26.1.23/Xray-windows-64.zip

不行老哥，我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里，还是不行，不是26.1.23

[shemengjia]

下这个就行了 https://github.com/XTLS/Xray-core/releases/download/v26.1.23/Xray-windows-64.zip

这个杂用啊哥，请教下

[ie123610]

我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里

旧的文件全部删掉 新的文件都复制过去 不要只替换部分文件
操作完后重启v2rayN

[shemengjia]

我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里

旧的文件全部删掉 新的文件都复制过去 不要只替换部分文件 操作完后重启v2rayN

不对啊，我现在的bin-xray文件夹里就一个exe文件和一个wintun.dll，就这2个，我一开始把这2个单独替换，不行，后来把整个文件夹里的都复制进去，也不行

[ewanbro]

我把解压下来文件夹里的exe和wintun.dll放到xray文件夹里

旧的文件全部删掉 新的文件都复制过去 不要只替换部分文件 操作完后重启v2rayN

好使 解决了感谢

[eirik-lu]

Xhttp_reality会有这个影响吗？

[Kc2353]

不会，reality实际上相当于强制要求pin证书（即其中填写的password/publickey），从原理上不可能allowinsecure跳过验证

[willing999]

赶紧解决啊，只能使用sing-box和更新证书，但是也麻烦。

[2dust]

解决方案都给出了，如果不在乎安全回滚版本一直用就行了。

[BaseBlank]

作者写的不是很清楚吗？你看不见？
作者有啥责任去替你解决问题？
没礼貌，没教养。

[CarterLeeAlt]

伸手巨婴，没礼貌，也没教养

[PendulumLX]

我用的singbox的hy2，获取证书指纹不太方便用这上面贴出来的那条命令，下面这个是我在其他地方找的：
openssl x509 -noout -fingerprint -sha256 -in 证书文件完整路径

希望能帮到一部分兄弟

[DHR60]

sing-box 不支持证书指纹，建议填写完整证书

[PendulumLX]

sing-box 不支持证书指纹，建议填写完整证书

那完整证书该怎么整呢
是直接打开证书文件然后复制里面的内容吗？

[DHR60]

cat 证书文件完整路径

直接粘贴进去应该就行

[PendulumLX]

cat 证书文件完整路径

直接粘贴进去应该就行

ok，谢谢，我试试

[eslco]

cat 证书文件完整路径
直接粘贴进去应该就行

ok，谢谢，我试试

Hii怎么样了 有效吗请问?

[mkzxcvbnm]

误导人啊 照着方案三：使用 pinnedPeerCertSha256 固定证书 获取了证书指纹 怎么弄都不行
最后发现还是要完整证书

[Kc2353]

那倒是直接填写证书方便
看的这方面单纯“指纹”倒是基本都是公钥哈希，不知xray默认是全证书哈希这方面是处于什么考量

[DHR60]

目前都是用的 证书指纹，包括 xray, mihomo, hy2 等
就 sing-box 特立独行用个公钥哈希，target = sing-box 的转换器生成 sing-box 配置都是 allowInsecure，但凡被中间人都是明文的
虽然确实有好处，证书轮换时公钥哈希不会变

[RPRX]

证书轮换主要就是为了换公私钥吧，同一对不能信任太久以防未知泄露，“证书轮换时公钥哈希不会变”就是没换私钥，轮换了个寂寞

[DHR60]

renew --reuse-key，HPKP 在大部分领域应该已经被废弃了吧，现在基本都是固定证书指纹

[Kc2353]

查了一下确实，ai说pin公钥的常见需求是因为有时候需要换域名不改公钥，但是这里域名（SNI）改了那应该也要修改配置了

[pooneyy]

但是 openssl s_client -connect 是能获取到证书的。这是什么原因？

[2dust]

XTLS/Xray-core#716

VLESS
4.4.4 pcs & vcn （@RPRX 添加于 2026-1-18，修改于 2026-2-2）
TLS CA/leaf 证书 SHA-256 指纹，对应配置文件中的 pinnedPeerCertSha256 项目。

[iloveandyegg]

如果你自己能获取，直接填入就可以了

openssl s_client -connect 命令行能获取归能获取，但是每一次更新订阅，少则几十，多则上百个节点，这么一套弄下来，真蛮麻烦的呢

你可以自己本地搭建一个我的转换器https://github.com/iloveandyegg/subscription-cert-converter

[pffang]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

[BaseBlank]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

还是换了吧，这种不负责任的机场，没有保留的必要

[lanyu-211]

如果是机场的，要求他们下发；如果他们不干就换一家。 这里的解决办法基本就是针对自建

联系了机场，机场拒绝更新服务端，目前不打算换机场，只能用坚持旧版本客户端了

不行就换clash用呗，反正都是机场的节点，也没什么要求

[mahdirzaii010-gif]

关于 跳过证书验证 allowInsecure 参数被移除的说明

---

📌 原因

Xray-core 在 v26.2.6 版本（2026年2月发布）中，正式移除了 TLS 配置中的 allowInsecure 参数。

官方说明：allowInsecure 已被迁移为 pinnedPeerCertSha256，请根据发行说明和文档更新你的配置。

allowInsecure: true 的本意是"跳过 TLS 证书验证"，这种做法存在一定的安全风险，因此 Xray 官方决定用更安全、更明确的证书固定（Certificate Pinning）机制来替代它。

---

🔴 现在的状况

自 2026 年 6 月 1 日 起，所有使用了新版 Xray 内核的用户，只要配置中存在 allowInsecure 字段等于是 true 且没有设置pinnedPeerCertSha256的，会出现以下报错，导致内核无法启动：

The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".
Please update your config(s) according to release note and documentation.

受影响的场景包括：

• 使用 Hysteria / Hysteria2 类型节点
• 使用任何在 TLS 设置中包含 allowInsecure 的节点配置
• 从订阅导入的节点（订阅链接中含有 insecure=1 或 allowInsecure=true 参数时，v2rayN 会自动写入配置，从而触发此错误）

---

✅ 解决方案

根据不同情况，有以下几种处理方式：

方案一：升级 v2rayN 至 7.22.5 / 升级 v2rayNG 至 2.2.3（临时应急）

v2rayN 7.22.5 版本已临时恢复对"跳过证书验证"功能的支持，可作为过渡期解决方案。

⚠️ 注意：

• 需要全新下载覆盖更新，不能直接在旧版上升级。
• 根据官方说明，Xray 将于 2026 年 8 月 1 日 彻底禁用 allowInsecure，届时此方案将不再有效，请提前准备长期解决方案。

📥 v2rayN 下载地址：https://github.com/2dust/v2rayN/releases/tag/7.22.5
📥 v2rayNG 下载地址：https://github.com/2dust/v2rayNG/releases/tag/2.2.3

---

方案二：关闭跳过证书验证（推荐·最简单）

如果你开启 allowInsecure 仅仅是为了"方便连接"，而服务器证书实际上是有效的，请直接在节点编辑页面中将"跳过证书验证"关闭（设为 false / 不勾选），保存后重试即可。

---

方案三：使用 pinnedPeerCertSha256 固定证书（最安全·长期方案）

这是官方推荐的替代方案。原理是预先计算并记录服务器证书的 SHA-256 指纹，Xray 连接时只要指纹匹配就放行，不依赖系统信任链，因此自签名证书也完全适用。

填写格式说明：
pinnedPeerCertSha256 支持两种格式，二选一即可，Xray 会自动处理：

• 纯十六进制（64位）：ae243d668ec9c7f74a0dcd1ad21c6676b4efe30c39728934b362093af886bf77
• OpenSSL 冒号分隔格式：AE:24:3D:66:8E:C9:...

⚠️ 第一步：确认你的协议类型

不同协议底层传输不同，获取证书指纹的方式不一样，请先对号入座：

协议类型	底层传输	获取方式
VLESS / VMess / Trojan / ShadowTLS + TLS	TCP	👉 见「TCP 协议获取方法」
Hysteria	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」
Hysteria2	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」

❌ 常见错误： openssl s_client 是 TCP 工具，Hysteria/Hysteria2 服务器只监听 UDP 端口，因此该命令对 Hysteria/Hysteria2 完全无法使用，强行运行只会卡住或报错，这是用户"怎么弄都不行"的根本原因。

---

🔵 TCP 协议获取方法（VLESS / VMess / Trojan 等）

在本地运行以下命令（需安装 OpenSSL，Windows 用户可使用 Git Bash 或 WSL）：

openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

示例输出：

SHA256 Fingerprint=AE:24:3D:66:8E:C9:C7:F7:4A:0D:CD:1A:D2:1C:66:76:B4:EF:E3:0C:39:72:89:34:B3:62:09:3A:F8:86:BF:77

取等号 = 后面的内容填入配置，前面的 SHA256 Fingerprint= 不要。

---

🟠 Hysteria / Hysteria2 获取方法

由于 Hysteria/Hysteria2 使用 UDP，无法用 openssl s_client 直接获取，有以下三种方式：

方式 A：从服务端证书文件计算（最可靠，推荐联系服务端管理员）

请服务端管理员提供 cert.pem 或 fullchain.pem 文件，在本地运行：

# 如果是单张证书文件
openssl x509 -fingerprint -sha256 -noout -in cert.pem

# 如果是证书链文件（fullchain），先提取第一张叶证书再计算
openssl x509 -fingerprint -sha256 -noout \
  -in <(openssl x509 -in fullchain.pem)

方式 B：借助同域名的 443 TCP 端口（服务器同时开放了 HTTPS 时）

如果 Hysteria2 服务器的域名同时在 TCP 443 端口提供了 HTTPS 服务，且使用的是同一张证书，可以借道 443 获取：

openssl s_client -connect 你的域名:443 -servername 你的域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

⚠️ 需确认 Hysteria2 与 HTTPS 使用的是同一张证书，否则指纹不一致。

方式 C：使用支持 QUIC 的工具（如 curl）

如果你的环境安装了支持 HTTP/3 的 curl：

# 先保存证书到文件
curl --http3 -k -w "%{certs}" -o /dev/null https://你的域名:端口 2>/dev/null \
  | grep -A 100 "Cert:" | openssl x509 -fingerprint -sha256 -noout

---

🔧 第二步：将指纹填入 v2rayN 节点配置

在 v2rayN 的节点编辑页面中，找到 TLS 相关设置 证书指纹，将上面获取到的指纹值（等号后面的部分）填入 pinnedPeerCertSha256 / 证书指纹 字段，保存后重新连接。

---

⏰ 注意：证书续签后指纹会变化

固定叶证书指纹有时效性问题，证书续签后哈希值会改变，需要重新填入：

证书类型	有效期	续签后是否需要更新
Let's Encrypt	约 90 天	✅ 需要更新
ZeroSSL 免费版	约 90 天	✅ 需要更新
商业付费证书	1～2 年	✅ 需要更新
自签名（长期）	自定义	不变

更稳定的进阶方案：固定中间 CA 的指纹

Xray-core 支持固定证书链中任意一张证书的哈希，包括中间 CA。中间 CA 通常数年才更换，稳定性远高于叶证书，适合不想频繁维护的用户：

# 查看完整证书链（需要 TCP 协议）
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 \
  -showcerts </dev/null 2>/dev/null
# 输出中第 2 段 -----BEGIN CERTIFICATE----- 即为中间 CA
# 将其保存为 intermediate.pem 后运行：
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem

---

📋 总结

项目	内容
被移除的参数	allowInsecure
替代参数	pinnedPeerCertSha256
从哪个版本起失效	Xray-core v26.2.6+
影响范围	所有使用 TLS 且配置了 allowInsecure 的节点
临时解法（有截止日期）	升级 v2rayN 至 7.22.5（过渡支持至 2026-08-01）
最简单的长期解法	关闭跳过证书验证（服务器证书有效时）
最推荐的长期解法	使用证书固定 pinnedPeerCertSha256
Hysteria2 注意事项	不能用 openssl s_client，需从证书文件计算或借助 443 端口
长期稳定方案	固定中间 CA 指纹，避免叶证书续签后频繁更新

---

如有更多疑问，可参考以下链接：

• Xray-core v26.2.6 发行说明
• v2rayN 7.22.5 发行说明
• v2rayNG 2.2.3 发行说明

[2dust]

机场主和机场用户请重点关注：

请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。
AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。

如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

[pooneyy]

这个告示不容易看见，如果您可以在 README 中置顶就更好了

[BraveMomo]

机场主和机场用户请重点关注：

请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。 AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。

如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

那v2的软件里的机场广告里，就应该只推荐满足需求的机场啊，现在推广的都满足吗？

[BaseBlank]

机场主和机场用户请重点关注：
请机场尽快为使用 AllowInsecure 的订阅配置增加 pcs/vcn 参数，并完成证书配置整改。 AllowInsecure 本质上是关闭 TLS 证书验证，客户端将无法确认连接的是否为真实服务器。在具备主动探测和中间人攻击（MITM）能力的网络环境中，攻击者可能伪造节点实施监听或篡改。随着代理生态越来越多地转向 VLESS、Trojan、Hysteria 2 等依赖 TLS 安全的协议，在已知 GFW 拥有完备 MITM 能力且相关技术已在伊朗国家进行过大规模实践的背景下，继续依赖 AllowInsecure 已不再是合理的长期方案。
如果机场客服给出的方案只是“换个客户端就能用”，而不愿修复证书配置和订阅内容，那么这并不是真正解决问题，同时也是不顾用户的信息安全；用户也应评估此类机场的安全维护水平，并考虑选择更重视用户安全的机场。

那v2的软件里的机场广告里，就应该只推荐满足需求的机场啊，现在推广的都满足吗？

作者脾气真好，你这种无理取闹的人也受得了，理解singbox作者为啥这么情绪化了，换做是我，遇到你这样的，直接软件停更不开发了；
作者开源软件，没要你一点报酬，你在这里指指点点什么；
技术上是一点点都不懂，只有情绪化输出，没毕业的臭小鬼。

[recolic]

装好不要升级就好了。

不同人有不同的需求、不同的应用场景，有的场景注重方便、有的场景注重安全、有的场景注重快速。
强制所有人都必须符合自己的安全标准，这是个糟糕的决定。
对于内核开发者尤其是这样，因为同一款程序会被不同的人用在不同场景。

[suyan-bingtao]

您好，我已经通过
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名
-showcerts </dev/null 2>/dev/null
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem
这两条命令获取了那个fingerprint 是把这个=号后面的内容去掉:填写到固定证书--》证书指纹(SHA256)里面吗 我填写后节点就连不上了 我是学油管上不良林的教程自己搭建的vps，是有什么地方没配置好吗

[Kc2353]

自己建的建议直接用真证书，没域名可以acme改为IP证书，除非你需要特定域名的自签名证书（大部分设计是即使你用错误域名连接服务器也会返回默认的证书，这时候只要“verify cert by name”即可“以第三方SNI连接同时以特定域名验证证书”），另外建议直接把证书文件复制到本地按“方式A”计算指纹，openssl直接连接获取的不一定可靠

[fqfqgo]

anytls 也警告提示了，到时候不会不能用了吧？anytls 是自动使用singbox，应该不受影响吧

anytls 是否支持 pinnedPeerCertSha256

[fqfqgo]

anytls 也警告提示了，到时候不会不能用了吧？anytls 是自动使用singbox，应该不受影响吧

anytls 是否支持 pinnedPeerCertSha256

pinnedPeerCertSha256 是v2rayn 传给 xray core处理的，v2rayn 自己不验证，所以 对anytls 节点 警告没用，即使配置了 pinnedPeerCertSha256 也没用。

[2dust]

anytls 能继续用，但是提示不会移除，会一直提醒到我们全面移除 allowInsecure 为止

[fqfqgo]

那全面移除 allowInsecure 是仅仅针对xray core,还是包括singbox，如果整个软件全面移除了allowInsecure ，singbox接收不到allowInsecure ，那自签证书的anytls 就不能用了啊

[berrychiao71-tech]

用自签名证书才需要注意吧。正儿八经的证书不需要理会，配置分享链接中也不会有相关参数。
现在面板不配置自己的域名，用公网ip也能申请let‘s encrpy证书，但是时间很短，但也应该无影响。

[berrychiao71-tech]

将自签名证书的sha256写入v2rayN配置中就行。要注意不同内核需要的格式好像不一样，hex格式和base64都试试

[2dust]

你说的对，正常的证书什么都不用管

[zhongpingaini-stack]

Google pixel 6A安装失败什么情况

[mS0gxokXEsg5ysJ7J79kzWiqO1fHgFA6ZR8eEls]

用了CDN是不是用不了pinnedPeerCertSha256?

[Kc2353]

过CDN要验证的是真证书啊，不用pin啊，如果你说的是“实际使用的证书的SAN与客户端填写的SNI不一致”导致需要跳过，可以用vcn(verify cert by name)

[SakuraBrooks]

真心感謝開發者！8月1日全部列表節點直接暴雷，屏幕全紅，實在是一種很溫和的升級方案，支持支持

[Kc2353]

@jimleequant-hue
首先我个人觉得他那句是反话
如果是服务提供商（机场），请让机场更新订阅信息加上证书sha256, 如果是自己建的，请到服务端，按上述方法手动计算并填进去。

另外，这样传输基本等同于明文，任何网络中间设施均有可能进行解密，如果机场长期不更新这一点建议考虑更换

[pooneyy]

最后怎么解决的

你没觉得他的怨气已经溢出屏幕了吗

[2dust]

可以去 xray 社区感谢 R主席

[Kc2353]

如果实在执意需要使用这样的节点，可以去看隔壁clash系的

[SakuraBrooks]

只是說，幾天過後自然是解決了問題了，首先為之前的事情道歉，其次，節點的問題跟提供商溝通了但是無果，現在選擇了自建，問題已經解決。感謝大家指正。

[tonykongcn]

我是个网络小白搞不定这个啊，有大佬出个傻瓜方案不？

[z836454898]

用机场

[upleung]

老哥，AI会用吧，我就让AI一步一步帮解决的，参考：

#9460 (comment)

[tonykongcn]

好的，谢谢二位。暂时放弃了，转用clash系先。

[conanlm]

请问同样的节点，在Windows上能正常使用，在手机上就不行，是什么问题

[conanlm]

请问同样的节点，在Windows上能正常使用，在手机上就不行，是什么问题

改了一下设置，启用伪造DNS好了，不知道为什么

[mojtabamoridali58-dotcom]

关于 跳过证书验证 allowInsecure 参数被移除的说明

---

📌 原因

Xray-core 在 v26.2.6 版本（2026年2月发布）中，正式移除了 TLS 配置中的 allowInsecure 参数。

官方说明：allowInsecure 已被迁移为 pinnedPeerCertSha256，请根据发行说明和文档更新你的配置。

allowInsecure: true 的本意是"跳过 TLS 证书验证"，这种做法存在一定的安全风险，因此 Xray 官方决定用更安全、更明确的证书固定（Certificate Pinning）机制来替代它。

---

🔴 现在的状况

自 2026 年 6 月 1 日 起，所有使用了新版 Xray 内核的用户，只要配置中存在 allowInsecure 字段等于是 true 且没有设置pinnedPeerCertSha256的，会出现以下报错，导致内核无法启动：

The feature "allowInsecure" has been removed and migrated to "pinnedPeerCertSha256".
Please update your config(s) according to release note and documentation.

受影响的场景包括：

• 使用 Hysteria / Hysteria2 类型节点
• 使用任何在 TLS 设置中包含 allowInsecure 的节点配置
• 从订阅导入的节点（订阅链接中含有 insecure=1 或 allowInsecure=true 参数时，v2rayN 会自动写入配置，从而触发此错误）

---

✅ 解决方案

根据不同情况，有以下几种处理方式：

方案一：升级 v2rayN 至 7.22.5 / 升级 v2rayNG 至 2.2.3（临时应急）

v2rayN 7.22.5 版本已临时恢复对"跳过证书验证"功能的支持，可作为过渡期解决方案。

⚠️ 注意：

• 需要全新下载覆盖更新，不能直接在旧版上升级。
• 根据官方说明，Xray 将于 2026 年 8 月 1 日 彻底禁用 allowInsecure，届时此方案将不再有效，请提前准备长期解决方案。

📥 v2rayN 下载地址：https://github.com/2dust/v2rayN/releases/tag/7.22.5
📥 v2rayNG 下载地址：https://github.com/2dust/v2rayNG/releases/tag/2.2.3

---

方案二：关闭跳过证书验证（推荐·最简单）

如果你开启 allowInsecure 仅仅是为了"方便连接"，而服务器证书实际上是有效的，请直接在节点编辑页面中将"跳过证书验证"关闭（设为 false / 不勾选），保存后重试即可。

---

方案三：使用 pinnedPeerCertSha256 固定证书（最安全·长期方案）

这是官方推荐的替代方案。原理是预先计算并记录服务器证书的 SHA-256 指纹，Xray 连接时只要指纹匹配就放行，不依赖系统信任链，因此自签名证书也完全适用。

填写格式说明：
pinnedPeerCertSha256 支持两种格式，二选一即可，Xray 会自动处理：

• 纯十六进制（64位）：ae243d668ec9c7f74a0dcd1ad21c6676b4efe30c39728934b362093af886bf77
• OpenSSL 冒号分隔格式：AE:24:3D:66:8E:C9:...

⚠️ 第一步：确认你的协议类型

不同协议底层传输不同，获取证书指纹的方式不一样，请先对号入座：

协议类型	底层传输	获取方式
VLESS / VMess / Trojan / ShadowTLS + TLS	TCP	👉 见「TCP 协议获取方法」
Hysteria	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」
Hysteria2	QUIC (UDP)	👉 见「Hysteria/Hysteria2 获取方法」

❌ 常见错误： openssl s_client 是 TCP 工具，Hysteria/Hysteria2 服务器只监听 UDP 端口，因此该命令对 Hysteria/Hysteria2 完全无法使用，强行运行只会卡住或报错，这是用户"怎么弄都不行"的根本原因。

---

🔵 TCP 协议获取方法（VLESS / VMess / Trojan 等）

在本地运行以下命令（需安装 OpenSSL，Windows 用户可使用 Git Bash 或 WSL）：

openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

示例输出：

SHA256 Fingerprint=AE:24:3D:66:8E:C9:C7:F7:4A:0D:CD:1A:D2:1C:66:76:B4:EF:E3:0C:39:72:89:34:B3:62:09:3A:F8:86:BF:77

取等号 = 后面的内容填入配置，前面的 SHA256 Fingerprint= 不要。

---

🟠 Hysteria / Hysteria2 获取方法

由于 Hysteria/Hysteria2 使用 UDP，无法用 openssl s_client 直接获取，有以下三种方式：

方式 A：从服务端证书文件计算（最可靠，推荐联系服务端管理员）

请服务端管理员提供 cert.pem 或 fullchain.pem 文件，在本地运行：

# 如果是单张证书文件
openssl x509 -fingerprint -sha256 -noout -in cert.pem

# 如果是证书链文件（fullchain），先提取第一张叶证书再计算
openssl x509 -fingerprint -sha256 -noout \
  -in <(openssl x509 -in fullchain.pem)

方式 B：借助同域名的 443 TCP 端口（服务器同时开放了 HTTPS 时）

如果 Hysteria2 服务器的域名同时在 TCP 443 端口提供了 HTTPS 服务，且使用的是同一张证书，可以借道 443 获取：

openssl s_client -connect 你的域名:443 -servername 你的域名 </dev/null 2>/dev/null \
  | openssl x509 -fingerprint -sha256 -noout

⚠️ 需确认 Hysteria2 与 HTTPS 使用的是同一张证书，否则指纹不一致。

方式 C：使用支持 QUIC 的工具（如 curl）

如果你的环境安装了支持 HTTP/3 的 curl：

# 先保存证书到文件
curl --http3 -k -w "%{certs}" -o /dev/null https://你的域名:端口 2>/dev/null \
  | grep -A 100 "Cert:" | openssl x509 -fingerprint -sha256 -noout

---

🔧 第二步：将指纹填入 v2rayN 节点配置

在 v2rayN 的节点编辑页面中，找到 TLS 相关设置 证书指纹，将上面获取到的指纹值（等号后面的部分）填入 pinnedPeerCertSha256 / 证书指纹 字段，保存后重新连接。

---

⏰ 注意：证书续签后指纹会变化

固定叶证书指纹有时效性问题，证书续签后哈希值会改变，需要重新填入：

证书类型	有效期	续签后是否需要更新
Let's Encrypt	约 90 天	✅ 需要更新
ZeroSSL 免费版	约 90 天	✅ 需要更新
商业付费证书	1～2 年	✅ 需要更新
自签名（长期）	自定义	不变

更稳定的进阶方案：固定中间 CA 的指纹

Xray-core 支持固定证书链中任意一张证书的哈希，包括中间 CA。中间 CA 通常数年才更换，稳定性远高于叶证书，适合不想频繁维护的用户：

# 查看完整证书链（需要 TCP 协议）
openssl s_client -connect 你的服务器IP:端口 -servername 你的SNI域名 \
  -showcerts </dev/null 2>/dev/null
# 输出中第 2 段 -----BEGIN CERTIFICATE----- 即为中间 CA
# 将其保存为 intermediate.pem 后运行：
openssl x509 -fingerprint -sha256 -noout -in intermediate.pem

---

📋 总结

项目	内容
被移除的参数	allowInsecure
替代参数	pinnedPeerCertSha256
从哪个版本起失效	Xray-core v26.2.6+
影响范围	所有使用 TLS 且配置了 allowInsecure 的节点
临时解法（有截止日期）	升级 v2rayN 至 7.22.5（过渡支持至 2026-08-01）
最简单的长期解法	关闭跳过证书验证（服务器证书有效时）
最推荐的长期解法	使用证书固定 pinnedPeerCertSha256
Hysteria2 注意事项	不能用 openssl s_client，需从证书文件计算或借助 443 端口
长期稳定方案	固定中间 CA 指纹，避免叶证书续签后频繁更新

---

如有更多疑问，可参考以下链接：

• Xray-core v26.2.6 发行说明
• v2rayN 7.22.5 发行说明
• v2rayNG 2.2.3 发行说明

[z836454898]

自建节点，然后使用合法的CA机构颁发的证书，不受影响~

[upleung]

已消除告警提示，问题解决了，以下提供参考：

我使用的是GCP云服务器，已在cloudflare自建证书，然后：

第一步：在 Cloudflare 添加 GCP 节点的 A 记录

1. 登录 Cloudflare 控制台，进入目标域名的 DNS 管理界面。

2. 添加一条 A 记录：

• 名称 (Name)：gcp（对应完整二级域名 gcp.yourdomain.com）

• IPv4 地址 (Content)：填写 GCP 实例的公网 IP（例如 1.2.3.4）

• 代理状态 (Proxy status)：设置为 仅 DNS（灰色云朵）

- *注意：Hysteria2 使用基于 UDP 的 QUIC 协议，Cloudflare 的免费 CDN 代理（橙色云朵）不支持 UDP 报文转发，必须保持灰色云朵直连。*

3. 检查 GCP 云服务器防火墙设置：

• TCP 80：必须入站放行（Let's Encrypt 在 HTTP-01 验证域名所有权时需要访问）。

• UDP 8443：入站放行（Hysteria2 服务接入端口）。

第二步：在 GCP 服务器上使用 acme.sh 申请 Let's Encrypt 证书

1. 连接 GCP 服务器 SSH 终端，安装 acme.sh 自动证书管理脚本：

Bash

curl https://get.acme.sh | sh -s email=your_email@example.com
source ~/.bashrc

2. 临时停止 Sing-box 服务，避免其占用端口干扰验证：（整个操作最好使用其他的Vless节点进行连接操作）

Bash

systemctl stop sing-box

3. 使用 --standalone 模式申请公网受信任的证书：

Bash

~/.acme.sh/acme.sh --issue -d gcp.yourdomain.com --standalone

第三步：安装证书至 Sing-box 目录并设置文件权限

1. 将申请到的完整证书链与私钥文件导出并安装至 Sing-box 指定配置路径：

Bash

~/.acme.sh/acme.sh --install-cert -d gcp.yourdomain.com \
--key-file       /etc/sing-box/hy2.key  \
--fullchain-file /etc/sing-box/hy2.crt

2. 配置证书文件的系统读取权限：

Bash

chmod 644 /etc/sing-box/hy2.crt && chmod 600 /etc/sing-box/hy2.key

第四步：重启节点服务并校验运行状态

1. 重新启动 Sing-box 主程序：

Bash

systemctl restart sing-box

2. 检查进程运行状态，确认无报错输出：

Bash

systemctl status sing-box

第五步：客户端（v2rayN / Sing-box / Clash）参数配置

在客户端软件中编辑或更新该 Hysteria2 节点参数：

参数项	配置值	说明
服务器地址 (Address)	gcp.yourdomain.com 或 1.2.3.4	GCP 服务器公网 IP 或解析域名
端口 (Port)	8443	服务端监听端口
SNI / ServerName	gcp.yourdomain.com	必须与证书域名完全一致
跳过证书验证 (allowInsecure)	false / 关	开启严格 TLS 安全校验
固定证书指纹 (pinSHA256)	留空（如遇 -1 请参见第六步）	默认无需填
完整证书 (PEM)	留空	无需手动导入自签名证书

第六步：排查与补充方案（若节点测试依然显示 -1）

如果完成上述所有步骤后，在客户端测试节点延迟依然显示 -1，可以通过手动绑定证书的 SHA-256 指纹来强制建立信任：

1. 在 GCP 服务器终端运行以下修正后的简化命令：

Bash

openssl x509 -in /etc/sing-box/hy2.crt -noout -fingerprint -sha256 | cut -d= -f2 | tr -d ':'

2. 运行后会输出一串 64 位的纯十六进制字符（无冒号，全大写或全小写），例如：

   A1B2C3D4E5F67890123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0

3. 将这串纯字符复制并粘贴到 v2rayN 节点的 固定证书指纹 (pinSHA256) 框内保存即可恢复连通。

最后更新节点链接：

域名直连配置格式：

hysteria2://你的密码@gcp.yourdomain.com:8443?sni=gcp.yourdomain.com&insecure=0&allowInsecure=0&pinSHA256=xxxxxxx#GCP-New

IP 直连 + 域名 SNI 配置格式：

hysteria2://你的密码@你的GCP外部IP:8443?sni=gcp.yourdomain.com&insecure=0&allowInsecure=0&pinSHA256=xxxxxxx#GCP-IP-NEW

（建议在原节点链接副本上修改，跑通后，直接将新的节点链接分享给手机导入即可）

[ccets]

不是，为什么要用那些不太安全的连接方式呢，reality不好吗

[z836454898]

这种是用自己的域名证书的，也不能说它不安全，只要用的是正规CA机构的证书。而reality是偷大公司的域名证书。两者走的是不同的路线

[mS0gxokXEsg5ysJ7J79kzWiqO1fHgFA6ZR8eEls]

reality 套不了CF吧

[upleung]

Hysteria2网速比reality快很多，有的网页reality刷新不出来或者刷新很慢，hy2一刷新就能打开