一键订阅转换工具使用指南：将通用订阅转换为 Clash / sing-box / Surge 格式

资料核对日期：2026-09
安全警示：私人订阅链接包含您的账户访问凭证，不应提交给来源不明或未经验证的在线转换站。

很多服务商提供的默认订阅配置可能并未针对特定客户端优化（例如缺少针对某些前沿流媒体的分组，或者分流规则过于简陋）。此时，订阅转换工具 便能帮助用户重组配置文件。

一、订阅转换的核心工具：Subconverter

在开源代理生态中，开源项目 tindy2013/subconverter (GitHub 开源仓库) 是一个广为人知的跨格式订阅转换工具。

该工具采用 C++ 开发，具备以下核心能力：

多格式解析与导出：可将 Shadowsocks、VMess、Trojan 等多种节点链接或单链接，转换为 Clash (YAML)、Surge、Loon、Quantumult X 等目标客户端所需的配置格式（具体输入与输出目标类型以官方文档支持列表为准）。
规则集注入：自动在配置文件中加入远程 Rule Provider 或外部规则集，实现国内直连、海外代理、特定媒体分流。
节点筛选与重命名：支持通过正则表达式对节点名称进行过滤（如排除高倍率节点或筛选特定国家节点）。

[!WARNING] 关键安全提醒：私人订阅链接不应提交给来源不明的在线转换站。当您把订阅 URL 填入第三方网页时，服务端的管理员日志理论上能够完整截获该链接并消耗您的节点流量。

若确需使用订阅转换，推荐按以下安全优先级进行操作：

优先使用服务商后台原生链接：现代主流节点服务商多已直接提供针对 Clash、sing-box 的专属订阅，尽量避免二次转换。
区分自建容器环境（本机 vs 公网 VPS）：
有轻量运维经验的用户可拉取官方 Docker 镜像自行搭建，但需根据运行环境做好网络隔离与访问控制：
- 本机环境运行：如果仅在个人电脑本机转换，建议显式绑定到本地回环地址（127.0.0.1）：
```
docker run -d --name subconverter --restart=always -p 127.0.0.1:25500:25500 tindy2013/subconverter:latest
```
  此时服务仅监听本地回环，不会向外部网络开放端口，避免将订阅链接传输至未经认证的第三方服务器。
- 公网 VPS 部署：若将容器部署在具有公网 IP 的云服务器上，若直接使用 -p 25500:25500 将导致端口对全网开放，任何能访问该 IP 的人员均可发起请求。因此在公网部署时切勿将其视为“私有环境”，务必配置防火墙安全组限制来源 IP，或通过反向代理配置 HTTP Basic Auth / Token 访问鉴权。
配置参数规范：关于各类协议的转换参数、外部配置规则引入及分组语法，可直接查阅前文所述的 Subconverter 官方开源项目说明文档。