3x-ui 更新修复面板指纹泄露 赞助商请求不再暴露 TLS SNI

发表于 分类于
3x-ui 2026-10-22 开发版滚动构建修复面板指纹泄露问题，赞助商数据拉取改为广泛共享域名，TLS SNI 不再暴露服务器在跑 3x-ui；同时 Windows 可执行文件改名 3x-ui.exe，修复导入 vmess 链接丢失 XHTTP、mKCP、finalmask 设置的问题。

本文依据 3x-ui 官方 GitHub releases 页（2026-10-22 的滚动开发构建）整理，未实测。本文提到的仍是 Dev 通道的滚动构建，非稳定版，稳定版用户建议等后续 3.10.x 稳定版合并后再升级。

装了 3x-ui 的人都知道，面板会定期拉取赞助商数据。但这个拉取动作本身有个小问题：它在 TLS 握手里用的 SNI，直接告诉监听者"这台服务器在跑 3x-ui"，等于给特征扫描送了一个现成的指纹。2026-10-22 的开发版滚动构建（官方 releases 页注明 built=2026-10-22T20:06:19Z）修复了这个问题，同时还有几处实用变化。

赞助商数据拉取不再暴露面板身份

官方这次把赞助商数据的拉取地址换成了一个广泛共享的域名，真正的数据路径放在 TLS 加密内部，握手阶段的 SNI 里不再出现和 3x-ui 相关的域名（官方发布说明里的 Security 一节明确写了这一条，commit 35b5e098）。

配套的界面变化：

  • 面板侧边栏不再展示赞助商卡片，赞助商信息只出现在 Sponsors 页面上，侧边栏干净了。

担心面板被探测识别的用户，可以等这个改动进入稳定版后再更新，算是一个小但实在的安全加固。

Windows 可执行文件改名了

Windows 版的程序名从 x-ui.exe 改成了 3x-ui.exe，还补上了版本信息、manifest 和 3X 图标。官方说这样做的直接好处是降低杀毒软件的启发式误报。

更新后要做的事（官方在"升级前"里明确列出）：

  • 把原来指向 x-ui.exe 的服务定义、计划任务、桌面快捷方式、调用脚本，统一改成新的文件名；
  • 替换文件后把旧的 x-ui.exe 删掉。

漏改了哪一处，Windows 服务就可能起不来，先检查这些入口再更新，省得来回折腾。

导入 vmess 链接不再丢失设置

这是一个实打实的问题型修复。以前从订阅或外部链接导入 vmess 配置时：

  • XHTTP 的相关设置（session/sequence 位置、padding 混淆、xmux 等）会被丢掉，导完 outbound 连不上（官方标注修复 issue #6808）；
  • mKCP 的 header、seed、MTU/TTI 和 finalmask 也同样会丢，导致 mKCP 方式连不上（官方标注修复 issue #6809）。

如果你之前从订阅里导入节点发现"明明配置都对就是连不上"，可以对照看是不是这几个设置在导入时被吞了。开发版里已经修好，稳定版用户可以留意后续更新。

另外 Clash 订阅导出时，Hysteria2 的 Gecko 混淆配置现在会带上包大小范围（packet-size range）一起导出，而不是只导出普通的 salamander 配置，这样客户端握手才能正常完成。

其他变化

  • MTProto 增加握手限流：对每个 IP 的待处理（未认证）握手数量设上限，防止单个地址占满握手资源，影响其他客户端连接。现有的 MTProto inbound 配置渲染为字节级一致，不会自动重启；
  • Xray 崩溃报告：以前崩溃报告只记录一个 7 字节的 stub，现在会记录完整的 panic 和堆栈，方便排查核心崩溃（搭配官方要求 Go 1.27.2、Xray-core v26.10.10）。

这次变化整体上是朝着"更安全、更少误报、导入导出更可靠"去的。稳定版用户不用急着切 Dev 通道，等 3.10.2 之后的小版本把这批修复合并进来再升级更省心。

依据来源： MHSanaei/3x-ui GitHub releases 页（2026-10-22 滚动构建说明）。