開源，是建立長期信任的開始。
星連VPN已正式啟動開源與技術研究計畫，並在 GitHub 建立官方公開儲存庫 SingLinkVPN Open Source and Technical Research。
這項計畫不是一次性的資料公開，也不是只建立一個供外界瀏覽的文件頁面，而是一項將會持續更新、持續擴大範圍的長期技術工程。
目前開放的是整個開源計畫的第一階段。
首階段內容主要涵蓋公開技術文件、安全與私隱模型、可重現的效能測試方法、機器可讀數據格式、公開數據集框架、技術報告目錄、研究工具、安全披露機制及證據發佈標準。
在後續階段，星連VPN將按照安全、私隱、授權及產品穩定性審查進度，分階段公開更多技術資料、研究報告及產品源碼，包括計畫中的 VPN 協議、VPN 用戶端，以及其他經審查後適合公開的核心 VPN 技術。
這代表目前的公開內容並不是開源計畫的終點，而是整個持續開源進程正式開始的第一步。
星連VPN官方 GitHub 儲存庫目前已建立 docs、data、reports、tools、tests 及 GitHub 自動化檢查等目錄，用於持續整理及發佈公開文件、研究數據、安全資料、效能測試和開源驗證工具。儲存庫亦明確標示為持續更新項目。
官方開源儲存庫：SingLinkLabs / singlink-vpn-open-source 目前狀態：第一階段已開放，後續技術資料、研究報告及產品源碼將分階段持續公開。
為甚麼星連VPN要啟動開源計畫？
VPN是一項與網絡傳輸、安全、私隱及數據處理密切相關的技術。
對一般用戶而言，VPN服務的實際運作大多發生在用戶無法直接觀察的系統內部。用戶通常只能看到應用程式介面、節點列表、連線速度及產品說明，卻難以直接確認：
VPN所公布的速度是如何測試的；
測試使用了甚麼軟件版本及網絡環境；
測試失敗是否被完整記錄；
安全聲明屬於政策承諾、內部測試，還是第三方評估；
公開報告是否具備日期、版本、方法和修正記錄；
測試數據是否能被其他研究人員重現；
不同版本之間的技術和安全變更能否被追蹤。
單靠品牌聲明，難以完整解決這些問題。
因此，星連VPN啟動開源與技術研究計畫，希望逐步把產品的技術、安全、私隱及效能資料，從單純的產品介紹轉化為外界可以查看、引用、驗證、重現及持續監督的公開資料。
這項計畫的核心不是簡單地把文件放到網上，而是建立一套持續運作的公開機制：
重要技術資料需要有明確版本；
可量化結論需要說明測試日期及環境；
效能結果需要提供相應數據；
內部測試與第三方評估需要清楚區分；
重大修正需要留下公開記錄；
後續產品源碼需要在安全審查後分階段發佈；
社區可以透過公開工具檢查資料格式及完整性。
官方儲存庫要求，每項可量化結論應列明測試日期、軟件版本、測試環境、測試方法、樣本量、原始或匯總數據，以及已知限制。無法驗證的「最快」、「最安全」或絕對化私隱宣傳，不會被直接視為公開證據。
第一階段已經開放哪些內容？
星連VPN開源計畫的第一階段，已經建立八個主要公開方向：
VPN開發架構與公開技術文件；
星連VPN產品及版本記錄；
安全與私隱模型；
可重現的效能測試方法；
測試數據格式及公開數據集；
安全、效能與透明度報告；
開源數據驗證及研究工具；
漏洞報告與負責任披露機制。
這些內容共同構成後續技術開源、數據公開和外部研究所需要的基礎。
一、公開VPN開發架構與技術文件
第一階段已公開一套跨平台 VPN 用戶端開發架構。
這份架構文件不綁定某一個具體程式語言或單一作業系統，而是從一個跨平台 VPN 用戶端應具備的主要模組出發，整理包括介面、連線生命週期、隧道管理、路由、DNS、設定、安全測試及本機診斷等技術方向。
目前公開的架構主要分為以下七個部分：
1. 介面層
負責顯示帳戶狀態、節點選擇、連線狀態、錯誤提示、診斷結果及無障礙功能。
介面顯示的連線狀態，應當以實際連線狀態機為準，而不是只根據用戶是否按下連線按鈕。
2. 工作階段編排層
負責處理：
連線；
斷線；
自動重試；
網絡切換；
裝置休眠及喚醒；
程式重新啟動；
異常中斷後恢復。
這一層需要避免舊的連線結果覆蓋新的連線工作，並確保重複操作不會造成衝突。
3. 隧道適配層
負責與不同作業系統提供的原生 VPN API 連接，包括：
數據包輸入及輸出；
隧道生命週期；
MTU設定；
系統權限；
背景執行限制；
隧道中斷回調。
4. 路由與DNS層
負責管理：
預設路由；
智能分流；
排除路由；
DNS選擇；
IPv4及IPv6政策；
本地網絡存取；
DNS及路由洩漏防護。
公開架構要求，洩漏測試不能只在首次連線時執行，還需要覆蓋重新連線、網絡切換、休眠喚醒及程式異常結束等情況。
5. 傳輸層
負責認證工作階段、傳輸行為、擁塞處理、保活策略及網絡遷移。
6. 設定層
負責接收及處理具版本、具簽署及最小化的遠端設定，並拒絕無效、過期或被降級的設定內容。
7. 可觀測層
負責在保障私隱的前提下提供：
本機健康狀態；
連線診斷；
錯誤分類；
可重現測試輸出；
不涉及用戶網絡活動的技術狀態資料。
目前公開的是跨平台 VPN 用戶端的高層架構及安全開發原則。隨着開源計畫推進，更具體的產品模組和源碼將在完成相應審查後，按照階段加入公開範圍。
二、建立版本化的星連VPN公開產品記錄
星連VPN亦建立了公開產品記錄，將不同性質的資料分開整理。
公開資料主要分為四類：
產品事實
包括：
支援平台；
公開版本；
發佈日期；
官方下載來源；
版本校驗資料；
重要功能及相容性變更。
架構說明
提供不暴露敏感系統、認證資料或生產環境的高層技術設計。
測量結果
所有效能或技術測試結論，需要附帶日期、方法、環境、樣本及相應數據。
政策聲明
包括產品營運、安全及私隱承諾，但政策聲明本身不會被包裝成第三方獨立驗證。
透過這種分類，可以避免將品牌政策、內部測試、技術實作和第三方研究混合在一起。
公開產品記錄亦要求，正式版本資料應逐步包含平台、版本編號、發佈日期、下載來源、可用校驗值、重要安全變更、相容性變更、已知限制，以及不可變的 Git 標籤或 Release 連結。
三、公開安全與私隱模型
安全不能只依靠一句「安全」或「已加密」進行描述。
因此，星連VPN第一階段公開了安全與私隱模型，用於說明後續安全測試、研究報告和第三方評估應關注的主要風險。
目前列出的威脅範圍包括：
本地網絡中的流量觀察；
DNS洩漏；
IPv6洩漏；
WebRTC洩漏；
重新連線期間的路由中斷；
Wi-Fi與流動網絡切換時的流量保護；
遠端設定遭到惡意修改；
遠端設定被降級；
裝置內憑證暴露；
第三方依賴套件風險；
建置及發佈供應鏈風險；
帳戶濫用；
未授權工作階段；
過度收集診斷或客服資料。
每項公開安全測試都需要標明：
受影響的用戶端版本；
作業系統；
測試日期；
網絡條件；
測試方法；
預期行為；
實際觀察結果；
已知限制。
這套模型亦明確區分安全政策、架構文件、內部測試及第三方評估。
只有具名的獨立評估機構或研究人員，並且存在可核實報告時，相關結果才會被標示為第三方評估。這並不是對後續審計進度的保留，而是為即將持續公開的安全報告建立一致、可核驗的標準。
四、建立可重現的VPN效能測試方法
VPN速度會受到多項外部因素影響，包括：
測試者所在國家或地區；
寬頻或流動網絡供應商；
本地網絡品質；
國際出口；
測試時間；
裝置性能；
用戶端版本；
使用的協議；
節點負載；
測試伺服器；
目標服務所在地區。
因此，只展示一次速度測試的最高數字，並不足以反映不同用戶的實際體驗。
星連VPN目前公開的效能測試方法，要求測試記錄至少包含：
UTC測試時間；
唯一測試識別碼；
用戶端版本；
作業系統；
裝置類型；
協議標籤；
方法版本；
測試國家或地區；
網絡類型；
樣本數量；
證據級別。
公開測試所採用的主要指標包括：
中位連線延遲
以毫秒記錄連線延遲的中位數，避免只展示一次最佳結果。
第95百分位抖動
反映大部分測試樣本中較高的延遲波動情況。
丟包率
記錄測試過程中的數據包遺失比例。
中位下載速度
以 Mbps 記錄多個樣本的中位下載速度。
中位上載速度
以 Mbps 記錄多個樣本的中位上載速度。
連線成功率
記錄重複連線測試中的成功比例。
中位重新連線時間
記錄網絡切換或連線中斷後恢復連線所需的中位時間。
正式測試流程包括：
記錄沒有連接 VPN 時的基準網絡；
固定測試裝置、網絡、目的地及採樣時段；
執行不計入正式結果的網絡預熱；
重複進行連線和數據傳輸測試；
完整記錄失敗樣本，不可靜默刪除；
公開匯總結果及機器可讀數據；
說明已知限制、服務中斷及被排除的樣本。
相同測試亦需要在可比較的條件下進行。更換網絡供應商、路由、裝置、測試伺服器或採樣時段時，都需要在報告中披露。
目前公開的方法是後續持續發佈實際效能數據和報告的基礎。隨着測試工作持續進行，具日期、具版本及可下載的數據集將按照這套方法加入公開儲存庫。
五、建立機器可讀的公開測試數據格式
除了文字報告，星連VPN亦公開了效能測試數據的機器可讀格式。
目前的 JSON Schema 要求每一筆效能記錄包含：
test_id：測試識別碼；
tested_at_utc：UTC測試時間；
client_version：用戶端版本；
platform：測試平台；
protocol_label：協議標籤；
country：測試國家或地區；
network_type：網絡類型；
sample_count：樣本數量；
latency_ms_median：中位延遲；
jitter_ms_p95：第95百分位抖動；
packet_loss_pct：丟包率；
download_mbps_median：中位下載速度；
upload_mbps_median：中位上載速度；
connection_success_pct：連線成功率；
reconnect_ms_median：中位重新連線時間；
methodology_version：測試方法版本；
evidence_level：證據級別。
證據級別目前可標記為：
內部測試；
獨立重現結果；
第三方評估。
機器可讀格式的價值在於，外界不需要只依靠文章中的圖表或結論。
開發者、安全研究人員及數據研究人員可以直接讀取公開資料，檢查欄位是否完整、數值是否符合範圍，並使用相同格式進行重新測試及比較。
六、逐步公開安全、效能與透明度報告
GitHub儲存庫已建立獨立的 reports 目錄，用於持續發佈：
安全報告；
效能報告；
私隱研究資料；
透明度報告；
第三方評估；
獨立重現結果；
重大安全修正公告。
每份正式報告在公開前，需要具備：
發佈日期；
作者或維護者；
受影響的產品版本；
測試或評估方法；
數據來源；
證據級別；
已知限制；
修正記錄。
內部測試和第三方評估將使用不同標籤，避免讀者將兩者混淆。
目前第一階段已完成報告發佈目錄、證據規則和版本框架的建立。後續安全、效能及透明度報告將在資料和審查準備完成後，持續加入相應目錄，而不是以一次性公告方式發佈後停止更新。
七、開放數據驗證及研究工具
第一階段亦已開放多項 Python 研究及驗證工具。
目前包括：
publication_guard.py
用於在文件、數據或工具公開前進行安全檢查，包括檢查：
憑證；
密鑰格式；
私有路徑；
壓縮檔；
二進位檔；
不應公開的產品源碼類型；
過大的檔案；
常見的有效Secret格式；
可能涉及敏感系統的內容。
validate_benchmark.py
用於檢查效能測試 CSV 文件是否符合公開數據格式，包括：
欄位名稱；
必填欄位；
數值範圍；
證據標籤；
測試資料結構。
check_relative_links.py
用於檢查 Markdown 文件內的相對連結，確認連結指向的公開文件確實存在。
check_multilingual_seo.py
用於檢查多語言文件及搜尋引擎相關結構，協助英文、簡體中文及繁體中文資料保持一致和可被搜尋。
這些工具不是星連VPN連線核心本身，而是整個開源發佈工程的基礎設施。
它們可以降低公開資料出現格式錯誤、失效連結、敏感資訊外洩或版本不一致的風險，同時讓外部參與者能使用相同工具檢查提交內容。
八、建立五級公開證據標準
為了避免不同性質的資料被混合使用，星連VPN建立了五級證據標準。
第一級：政策聲明
由維護方公布的產品、安全、營運或私隱政策。
政策聲明代表公開承諾，但不等同技術實作證明或第三方審計。
第二級：實作文件
具有明確版本的高層技術描述。
這類文件可以說明系統如何設計，但不應包含節點地址、憑證、私人API或其他敏感資訊。
第三級：內部測試
由 SingLinkLabs 按照已公開方法執行，並附帶日期、版本、環境及數據的測試。
第四級：重現結果
由其他開發者或研究人員，使用相同方法及公開數據獨立重現的結果。
第五級：第三方評估
由具名的獨立研究人員、安全機構或評估機構完成，並附有可核實的正式報告。
這五個級別不能互相代替。
內部測試不能直接標示為第三方評估，政策聲明不能被視為獨立驗證，公開測試方法亦不能自動等同已完成重現。
這套制度的目的，是讓後續發佈的每一份報告都能清楚回答一個問題：
這項結論是由誰、在甚麼時間、使用甚麼版本、按照甚麼方法得出的？
證據政策亦規定，重大修正需要透過新的 Git Commit 記錄，並加入變更日誌。已發佈的資料不應被靜默替換，已被新版本取代的數據仍需要保留可識別狀態。
九、建立漏洞報告及負責任披露機制
開源和安全披露需要同時進行。
公開技術資料可以提高透明度，但未修補漏洞、有效憑證、私人端點、節點地址及用戶資料不能直接發佈在公開 Issue。
星連VPN目前建立的安全披露規則要求，漏洞報告需要透過安全信箱或 GitHub Security Advisories 私密通報，並清楚標示為安全披露。若安全信箱尚未公開，請先查閱官方儲存庫的 SECURITY.md，不要猜測地址。
報告應包含：
受影響版本；
受影響平台；
重現條件；
安全影響；
安全的聯絡方式；
不涉及真實用戶資料的重現資料。
安全問題需要先經過：
分類及確認；
影響評估；
修復；
新版本發佈；
預留合理更新時間；
發佈安全公告。
公開公告需要區分已確認影響與假設性風險，並標明受影響版本及已修復版本。
這種機制讓安全研究可以公開進行，同時避免尚未修補的漏洞被提前暴露，影響真實用戶。
十、公開資料不等於公開用戶資料
技術透明度不能以犧牲用戶私隱為代價。
星連VPN公開儲存庫明確禁止透過 Issue、Pull Request、測試數據或研究文件提交：
個人資料；
帳戶識別碼；
付款資料；
客服對話記錄；
私人IP地址；
Access Token；
生產環境憑證；
生產環境日誌；
原始生產流量；
可識別個別用戶的測試資料。
公開效能數據需要先經過匯總或去識別化處理。
在資料正式發佈前，審查者需要確認數據中不包含用戶級資料、憑證或其他可以識別真實使用者的內容。
因此，星連VPN推進的是技術、方法、報告及源碼的透明化，而不是公開用戶資料、節點安全資料或生產系統憑證。
十一、社區可以如何參與？
星連VPN開源計畫歡迎開發者、安全研究人員及社區參與。
現階段可參與的方向包括：
改善技術文件；
修正文件錯誤；
改善繁體中文、簡體中文及英文翻譯；
改善測試方法的可重現性；
提升公開數據品質；
改善無障礙可讀性；
補充研究工具；
改善格式驗證；
檢查失效連結；
提交新的公開研究方法；
對測試設計提出技術建議；
在符合安全規則下重現公開測試。
提交內容不能包含：
未經批准公開的產品源碼；
私有基礎設施資料；
憑證或密鑰；
用戶資料；
私人端點；
生產環境日誌；
未修補漏洞的完整利用方式。
對任何可量化結論，貢獻者亦需要提供證據來源、方法、日期及限制。
這次是否代表星連VPN已完成全部開源？
不是。
因為這次是整個開源計畫的第一階段，而不是最後階段。
目前已優先開放：
技術文件；
開發架構；
安全與私隱模型；
效能測試方法；
機器可讀數據格式；
數據驗證工具；
證據及發佈政策；
安全披露機制；
後續報告與源碼的公開框架。
目前未包含在第一階段公開範圍內的內容，主要包括：
完整VPN用戶端源碼；
伺服器端源碼；
付款系統源碼；
生產節點配置；
私有API；
認證憑證；
抗封及網絡對抗的敏感實作；
核心協議完整源碼。
這些內容並不是被排除在整個開源計畫之外，而是需要按照產品模組分開進行安全、私隱、依賴套件和授權審查。
完成相應審查後，後續技術內容將按階段另行發佈，並配合：
明確的開源目錄；
對應授權文件；
版本記錄；
安全邊界；
變更日誌；
發佈日期；
可核驗的Git標籤或Release。
第一階段先建立公開標準、數據結構、安全規則和研究工具，可以為後續源碼公開提供更穩定的基礎，也可以降低在開源過程中意外暴露憑證、節點資訊、用戶資料或第三方受限制代碼的風險。
授權文件將隨後續開源內容逐步明確
目前公開儲存庫可以自由瀏覽，但完整的程式及內容再利用授權仍在按照不同資料和源碼類型進行整理。
因此，在正式授權文件發佈前，外部使用者不應自行推定已取得：
複製權；
修改權；
再發佈權；
商業使用權；
重新授權權。
這並不影響開源計畫的持續推進。
相反，明確授權是正式開源不可缺少的一部分。後續每一類源碼、文件、數據或工具在公開時，都將按照其實際依賴、第三方授權及使用範圍，配套明確的授權文件。
透過這種方式，可以避免不同模組的授權條件被錯誤混用，亦能保障社區貢獻者、上游開源項目及後續使用者的權利。
星連VPN開源計畫的長期方向
星連VPN開源計畫的方向已經確定：持續增加可公開、可驗證和可重現的技術內容。
後續工作將主要沿着以下方向推進：
1. 持續補充公開技術文件
包括不同平台的連線生命週期、路由、DNS、網絡切換、安全設定及測試方法。
2. 持續發佈版本化產品記錄
逐步增加平台、版本、發佈日期、校驗值、重要變更、已知限制及穩定引用連結。
3. 持續增加實際效能數據集
按照已公開方法，發佈具日期、具版本、具測試環境及機器可讀格式的效能數據。
4. 持續發佈安全、效能與透明度報告
報告將清楚區分政策聲明、內部測試、獨立重現及第三方評估。
5. 推動外部研究人員重現測試
外界可以按照相同方法及數據格式進行測試，並對不同網絡、裝置和地區的結果進行比較。
6. 持續改善數據及發佈工具
增加自動化格式檢查、安全檢查、文件檢查及測試流程。
7. 分階段公開VPN產品源碼
在完成安全、私隱、第三方依賴及授權審查後，逐步公開計畫中的 VPN 協議、VPN 用戶端及其他核心技術內容。
8. 建立更完整的安全披露和修正記錄
讓重大安全問題、受影響版本、修復版本和後續更新均具有清晰記錄。
官方儲存庫已加入引用資料文件，建議研究人員引用具標籤的 Release、不可變 Commit，以及實際使用的具日期報告或數據集，避免引用沒有版本和日期的宣傳內容。
從公開聲明走向可持續驗證
開源不應只是一場發佈活動。
真正具有長期價值的開源，需要持續更新、外部參與、清楚授權、版本管理、安全修正，以及可以被其他人驗證和重現的技術資料。
星連VPN此次先從技術文件、研究方法、數據格式、證據標準、報告框架及驗證工具開始，是為後續更大範圍的源碼公開建立基礎。
從整個計畫來看，第一階段主要完成三件事：
第一，建立公開入口
將原本分散的技術、安全、私隱及效能資料，集中到可持續更新的 GitHub 儲存庫。
第二，建立公開標準
確定甚麼資料可以公開、測試結果需要包含哪些欄位、不同證據如何分類，以及修正如何留下記錄。
第三，建立後續開源基礎
為後續報告、數據集、協議、用戶端及其他技術模組的公開，預先建立安全、私隱、授權和版本管理機制。
因此，首階段的重點並不是以有限內容代表整個開源成果，而是正式開啟一個可以持續擴展的開源進程。
常見問題
星連VPN是否已經正式啟動開源計畫？
是。
星連VPN官方開源與技術研究儲存庫已經建立，第一階段技術文件、研究方法、數據格式及驗證工具已經公開。
目前是否已經公開全部VPN源碼？
目前公開的是第一階段內容，尚未一次性公開全部產品源碼。
VPN協議、VPN用戶端及其他產品源碼將按照模組，在完成安全、私隱、第三方依賴及授權審查後，分階段持續公開。
為甚麼不一次公開所有源碼？
VPN產品可能包含生產節點資料、認證憑證、私有API、安全對抗機制、第三方依賴及不同授權條件。
分階段審查及公開，可以避免在開源過程中暴露用戶資料、節點安全資料、有效憑證或不具備再發佈權的第三方程式碼。
效能測試方法公開後，是否會公開實際測試數據？
會。
測試方法和機器可讀格式是第一步。後續效能數據和報告將按照日期、版本、測試環境、樣本量及已知限制持續加入公開儲存庫。
是否會公開安全和透明度報告？
會。
儲存庫已建立獨立報告目錄及發佈規則，安全、效能和透明度報告將在證據、方法、版本及限制資料準備完成後持續發佈。
公開安全模型是否等於已完成第三方審計？
安全模型是後續測試及評估的公開基礎。
正式第三方評估將標明具名評估機構或研究人員，並提供可核實的報告，不會與內部測試混合標示。
開發者可以參與甚麼內容？
目前可以參與技術文件、翻譯、研究方法、數據品質、無障礙、驗證工具及測試重現。
安全漏洞需要透過私人安全披露渠道提交，不能直接在公開 Issue 發佈。
公開數據會不會包含用戶資料？
不會。
公開數據必須經過匯總或去識別化處理，並禁止包含帳戶資料、付款資料、客服記錄、私人IP、Access Token、生產日誌或原始生產流量。
結語：開源，是建立長期信任的開始
星連VPN開源計畫已經正式啟動。
目前公開的第一階段，首先建立了技術文件、研究方法、證據標準、數據格式、安全披露規則、報告框架及驗證工具。
接下來，公開內容將繼續增加。
更多安全、效能與透明度報告將持續發佈；更多公開數據將按照統一格式加入；更多技術內容及產品源碼亦將在完成安全、私隱及授權審查後分階段開放。
這不是一次性的品牌公告，也不是開源計畫的最後一步。
它是一項持續的技術工程。
我們希望逐步將星連VPN的產品技術、安全、私隱及效能資料，從單純由品牌描述的內容，轉化為社區可以查看、引用、驗證、重現和持續監督的公開資料。
我們亦歡迎開發者、安全研究人員、技術媒體及社區用戶參與文件改善、研究測試、數據驗證及技術討論。
開源，是建立長期信任的開始。
而這，只是第一步。