怎么判断订阅被多人共享：Token、IP、连接证据与误判边界 | Manguo Labs

订阅被多人共享的异常现象与证据清单

订阅被多人共享时，最典型的证据是同一个 Token 在短时间内出现多个地理位置相距较远的 IP。例如同一订阅在 10 分钟内从北京联通和广州移动同时请求配置更新，或在 1 小时内从深圳、武汉、上海三地建立节点连接。其次是 User-Agent 混杂：同一 Token 在同一时段出现 iOS、Windows、Android 多种客户端，且操作系统版本和浏览器内核差异明显，无法用单用户多设备解释。第三是订阅请求 IP 与 Soga 上报的真实连接 IP 长期不一致，且订阅 IP 被多个 Token 共用，可能存在代理订阅或集中分发行为。

还需要关注流量和连接时长异常：单个订阅在 24 小时内产生远超个人使用的流量峰值，或节点并发连接数持续超过 5 个独立 IP。登录与订阅请求的 IP 频繁切换也是线索，正常用户的登录 IP 和订阅更新 IP 通常保持相对稳定。这些证据需要结合时间窗口和历史模式综合判断，单一维度容易误判 NAT、移动网络或旅行场景。真正可靠的判断依赖多维证据和持续追踪，风险概率不是封禁唯一依据，需要人工复核后再决策。

Token、注册 IP、登录 IP、订阅 IP、Soga 真实连接 IP 的关联逻辑

Token 是订阅的唯一标识，通常在用户首次访问「我的订阅」时生成。注册 IP 记录账号创建时的来源，用于识别批量注册；登录 IP 记录用户访问 XBoard 面板的来源，反映账号操作行为；订阅 IP 是客户端请求订阅链接时的出口 IP，通常与客户端所在网络环境一致；Soga 真实连接 IP 是用户客户端实际连接节点时后端记录的源 IP，由 Soga 上报到 XBoard 或独立审计库。

订阅 IP 与连接 IP 的对应关系是判断共享的关键。如果用户用代理请求订阅但直连节点，两者会不同；如果都直连或都走同一代理则一致。长期不一致且订阅 IP 被多个 Token 共用时，可能存在订阅分发行为。同 Token 多 IP 需要区分是移动网络切换、NAT 多设备还是真实共享：短时跨国、UA 完全不同、或订阅 IP 与连接 IP 长期不一致时，共享概率显著上升。同 IP 多 Token 则指向集中分发，如果某个 IP 在 1 小时内触发 10 个以上不同 Token 的订阅更新，说明存在共享组织者或转卖行为。

如何从 XBoard 和 Soga 日志中提取和关联证据

第一步，在 XBoard 后台「用户管理」或直接查询数据库 `subscribe_log` 表，导出目标 Token 最近 7 天的 `request_ip`、`request_time` 和 `user_agent` 字段。按 IP 归属地分组，统计去重后的 IP 数量和地理分布。如果同一 Token 出现 3 个以上不同城市或运营商的 IP，且时间间隔小于 30 分钟，记录为高风险线索。

第二步，检查节点后端的连接日志。对于 Xray 节点，查看 access.log 中 `email` 字段对应的连接源 IP；对于 Hysteria2 节点，查看 `auth` 字段和 `remote_addr`。统计去重后的 IP 数量和地理分布，正常单用户通常不超过 3 个常驻 IP（家庭、公司、移动网络），超过 5 个且分布在不同省份需要人工复核。

第三步，对比订阅请求 IP 与 Soga 上报的连接 IP。如果 Soga 已配置上报，在 XBoard 的 `server_stat` 或独立审计表中查询该 Token 的连接记录，提取 `client_ip` 和 `connected_at` 时间戳。如果订阅 IP 与连接 IP 长期不一致，且订阅 IP 同时关联多个 Token，可能存在代理订阅或分发行为。将这三类证据按时间线整理，形成完整异常清单。

风险评分不是封禁唯一依据：从概率到人工决策

即使系统计算出某账号的共享风险评分达到 85 分，也不应自动触发封禁。风险评分只能表明"出现多个异常特征的巧合概率较低"，但无法排除边界场景：用户可能刚从国内出差到海外、家庭宽带刚完成运营商迁移、或在春节期间使用多个亲属设备登录。正确流程是将高分账号加入复核队列，运营者查看完整时间线、检查是否有客服记录、对比历史付费行为和套餐等级，再决定是警告、限速还是封禁。部分运营者会先发送邮件询问或临时降速 24 小时观察反应，避免误伤后难以挽回信任。风险评分的价值在于优先级排序和证据汇总，最终判断必须由人执行。对于申诉用户，应保留原始日志供复核，而非仅依赖评分结果。

账号关联传播追踪与误判控制

通过 IP 历史交集可以构建账号关联图谱：Token A 和 Token B 曾在 IP1 同时出现，Token B 和 Token C 曾在 IP2 同时出现，则 A-B-C 形成二度关联链。这种追踪用于发现批量注册、订阅分发或组织化共享行为，例如某个"车主"用自己的 IP 为 20 个下游账号配置订阅，再由这些账号分散到不同终端用户。追踪深度通常限制在 8 层以内，因为关联层数越深、时间跨度越长，偶然重合的概率越高：两个无关用户可能曾在同一机场、酒店或咖啡馆的公共 Wi-Fi 下请求过订阅。因此三度及以上关联必须结合注册时间接近、邀请关系、相同支付方式等辅助证据，且仅作为线索而非定罪依据。实际运营中，一度关联（直接共享同一 IP）可信度高，二度关联需人工复核，三度及以上仅用于标记观察。

Manguo Labs XBoard 订阅安全审计系统：能力边界与部署前提

Manguo Labs XBoard 订阅安全审计系统提供独立 MySQL 存储历史数据、Web 仪表盘展示关联关系、Soga 真实连接 IP 采集对接、同 Token 多 IP 与同 IP 多 Token 自动识别、账号关联传播图谱生成、风险评分计算与人工复核工作台。适用于用户基数超过 500、已有共享投诉、需要长期监控高风险账号、或希望在封禁前留存证据的场景。系统不会自动封禁账号，所有决策由运营者在复核后执行。部署前提包括 XBoard 可访问 MySQL、Soga 已配置上报连接日志、运营者有明确的申诉处理流程。不适用于一次性排查、用户基数低于 100、或尚未部署 Soga 的情况。如需了解数据对接方式、误判控制策略和申诉流程设计，可访问 https://manguolabs.com/xboard-security-audit/ 或通过 https://t.me/ManguoShop_bot 咨询技术边界与实施周期。

什么时候这已经不是单点配置问题

当订阅共享行为复杂、需要长期追踪历史关联、或希望降低 NAT 和移动网络误判时，手工分析日志和 SQL 查询难以持续维护。Manguo Labs XBoard 订阅安全审计系统为 XBoard 运营者提供独立 MySQL 存储、仪表盘展示、Token 与 IP 历史关联分析、Soga 真实连接 IP 采集、风险评分与人工复核工作流。系统将 Token、登录、订阅请求与连接证据关联，支持同 Token 多 IP、同 IP 多 Token 和账号关联传播追踪，并明确标记误判风险高的场景。风险概率不作为封禁唯一依据，最终决策由运营者人工复核后执行。适合需要持续调查订阅共享或可疑账号、并希望在证据充分且经人工确认后再采取行动的运营者。

Manguo Labs 能提供什么

Manguo Labs 为 XBoard 运营者提供订阅共享、Token 多 IP、IP 关联与可疑账号的审计和人工复核方案。

本文主题与 XBoard 订阅安全审计系统直接对应。文章重点说明如何采集 Token、登录 IP、订阅 IP、Soga 连接 IP 并进行关联分析，识别同 Token 多 IP、同 IP 多 Token 和账号关联传播模式，同时明确 NAT、移动网络、旅行和代理场景的误判边界，以及风险评分不作为唯一封禁依据、必须经人工复核的原则。这些正是 XBoard 订阅安全审计系统的核心能力：独立 MySQL 存储历史数据、仪表盘展示关联关系、真实连接 IP 采集、风险评分与人工复核工作流。文章强调单一线索不足以判断、需要多维证据和持续复核，为长期审计方案提供自然过渡。

适合这些情况

• 需要采集和关联 Token、登录 IP、订阅 IP 和 Soga 连接 IP 的完整证据链
• 需要识别同 Token 多 IP、同 IP 多 Token 和账号关联传播模式
• 需要降低 NAT、移动网络和多设备场景的误判
• 需要长期追踪订阅共享历史关系并持续人工复核

查看XBoard 订阅安全审计系统 →

常见问题

总结与下一步

判断订阅是否被多人共享，需要采集 Token、注册 IP、登录 IP、订阅请求 IP 和 Soga 真实连接 IP，并关联分析异常模式：同 Token 短时多 IP、同 IP 多 Token、订阅 IP 与连接 IP 长期不一致、UA 混杂或短时跨地区。单一线索容易误判 NAT、移动网络、旅行和多设备场景，可靠判断依赖历史关系、时间跨度、地理连续性和 UA 稳定性。账号关联传播追踪可发现批量注册和组织化共享，但需限制追踪深度并人工复核。风险评分应作为辅助而非唯一封禁依据，最终决策必须经人工复核。对于需要长期审计、持续复核和降低误判的场景，Manguo Labs XBoard 订阅安全审计系统提供独立存储、仪表盘、历史关联分析与人工复核工作流，适合复杂和持续性的订阅共享调查需求。

需要进一步评估时，可先查看XBoard 订阅安全审计系统，并参考更多技术文章。