作者安全创作手册
- 本文系发帖人F参考有法律背景、咨询有网络安全技术背景的ω以及参考各路网友发言后写成，有些文字直接使用她们的回答，因此视为集体创作，放弃署名。如果在本博客之外发现有人宣称是本帖发帖人，请不要相信。
- 本文含许多加密性高的产品推荐，均免费。
- 建议私底下传给你认识的作者。本文不禁止在微博豆瓣等公共平台传播，但不建议这么做，容易被删帖炸号。
- 有些建议可能会让你感到不舒服（尤其是很多从安全性分析“不推荐国产产品”），请不要在帖里吵架。
- 以防万一，请自己做好备份。
- 如果你是海棠案的亲历者，本篇文章或链接里的内容可能会引起PTSD，请酌情阅读。
2025年5月27日，志愿者A老师告知我们长毛象等地被警方关注，向外传递的消息被持续监控；同天有志愿者被警方传唤，志愿者A老师提醒我们删除网络上相关信息，之后注销了邮箱和长毛象，我隐藏了博客。再后来，我们得知志愿者没有真正被传唤，警察的目的是恐吓志愿者让她不再给外界传递消息。目前志愿者们都平安，向勇敢的志愿者致敬。
之前的安全手册内容移步至《作者安全创作手册2024-2025备份》，本篇博文于2026年3月6日更新。
一、个人感想 二、2025年海棠案中，警方做了什么？ 三、法律风险 四、作者自查清单（如何从技术与身份隔离中保护自己） 五、安全文化的宣传需要社区支持
本文特别鸣谢网络安全专家ω全程参与讨论、提供建议、修改文章。
本文的写作背景在经历2024年安徽绩溪、2025年甘肃兰州警方大规模抓捕海棠文学网作者之后。新来的作者、读者若不清楚背景，可以到Substack上查看水瓶纪元的文章。Substack需翻墙，建议有条件的朋友们去水瓶纪元的主页支持优质报道！
2024年12月19日：水瓶纪元：海棠作者被捕，耽美创作频繁涉刑出路何在？ 2025年6月30日：水瓶纪元：海棠作者案：一次没有真正受害者的犯罪
个人感想
经过2025年的海棠案后我的心态有所改变，不再像上一篇博文中那样理直气壮呼吁大家继续战斗。尽管我匿名，人身处异国，得知博客被警方监控后依旧感觉心理压力大，海棠作者们经历的压力更加难以想象。2024年写作安全手册时，还认为写免费文、没有金额转账不会有太大问题，然而这些事都在2025年发生了。如今国内红线模糊不清，警方在何时何地会为了地方财政、为了政绩投入大量资源抓捕作者，一切都是未知数。因此，身在国内的作者若提笔时有顾虑，就更能理解了。
我不会鼓励国内作者“为了爱要继续创作”，每位作者背景不同，风险承担的能力不同，加上网络安全学习的成本对于一些作者来说比较高，不是所有人都能坚持下来，自由写作仍旧有危险；但我也不想说“为了安全不要写了”，耳听到一些故事，安全上网的措施是有用的。因此，还是那句话，选择权交给作者——到底要不要写，边限文要写到什么程度，愿意为了获得读者将文章公开到什么程度，由作者自行决定。自行决定的前提是，作者要事先知道自己做出每个选择会承担的后果。
我选择更新本手册，也是看到安全创作仍旧有大量需求，即使不是为了躲避警方追踪，也可以避免被圈内恐怖分子开盒。
希望本文以及其他的法律科普、网络安全科普能达成这个目标，即让作者清楚地知道自己会面临怎样的风险，以及面对这些风险时要采取什么措施。
2025年海棠案进行时，AO3上有位计算机行业的姐妹写了《大陆地区创作者如何安全使用AO3：从社会工程到技术安全知识》，涵盖了“警方找到作者”的突破点的各个方面，推荐先阅读，就算一开始对某些术语云里雾里，但能掌握大致环节。
作为补充，大家也可以到pixiv上搜索《一个网警的心法教学-P站写色文发黄图到底安不安全》，看看网警视角。
玉珠在前，本文不打算写得面面俱到，目标是在AO3文章的基础上介绍最基础的工具和附上简易教程，让作者能够完成一些基础设置。
2025年海棠案中，警方做了什么？
根据我手上的信息，总结：2025年兰州行动不止为了钱，也为了政绩，起步门槛低；2024年8月之后海棠换的十二名经销商全部落网，警方手上掌握经销商的流水；传唤作者大约两三百，有盈利作者也有免费作者；部分出过海外无删的作者也不安全，原因是经销商全部落网，其中有经销商有出版社，虽然与作者签订的合同是「只在台湾地区售卖」，而事实是在大陆生产通过淘宝贩卖，而且是简体字版，光是淘宝就卖了很多（接近万本）。
2025年6月份，微博上有作者发帖表示自己写的免费文，点击量只有一千/或几千（不不到量刑标准），当时作者在乡下老家，警察驱车五小时到作者家门口带回局里教育。公共资源还是得靠公家浪费哈。
稿费是通过国内渠道收到的，不管是支付宝微信银行卡，在实名制的背景下查到本人轻而易举。如果说付费提现的作者因为被掌握资金链的流动而被查到本人，警方抓捕链的逻辑是清晰的，那么，为什么连免费文作者、甚至小点击量的作者也会被找到？
四月初通过志愿者的信息以及从豆瓣的信息分析，警方可能还没有攻破后台，而是掌握了海棠管理员的账号，因为海棠的账户密码是使用明文储存，通过管理员账号得到用户账号、密码以及其他海棠后台浅层的数据。但是事态一直在发展，海棠不闭站，警方就有机会一直攻击数据库直到破解。
Q：兰州警方真的攻破了海棠后台吗？ A：是的。
依据之一是水瓶纪元里的报道：
作者和读者圈子同时在讨论警方如何获取的信息。徐曼曾被告知警方破解了后台。一位懂计算机技术的读者则表示，海棠用的还是上世纪90年代的加密方式，所有用户账号与密码都明文保存，数据库可能已被入侵。有作者做笔录时看到，警方办公桌上放着厚厚一摞卷宗，上面是海量的账号与密码。
依据之二是最后收到的消息：“……网站一直不关停甘肃的网安就能一直破解后台，有人提供了警方能精准查阅用户点击网站记录的截图，海棠大概已经千疮百孔了。”
依据之三，有作者曾在一蟹更比一蟹强老师的微博留言：“我没有提现，没有给支付宝账号，账号上也没有留真实信息，还是被传唤了，就是被蹲IP蹲到的。”后来删除了留言。
有人说兰州警方那么落后，哪来的高端技术？海棠网站架构落后，攻破后台难度没那么大；就算警方没有技术，他们也可以在资源高度集中的情况下雇佣第三方的网安公司来做。因此，使用任何网站，都要做好数据库被攻击的准备。
综上所述，警方是通过
- 逮捕经销商后通过支付流水锁定付费作者；
- 根据海棠榜单、读者账号里的书柜信息等锁定作者；
- 拿到用户的账户密码后使用用户留下的实名信息找到一些免费作者，包括用户在注册海棠账号时填写的手机号、国内实名邮箱、家庭地址等等；
- 在校学生使用校园网访问网站，使用校园网无秘密，轻易定位；
- 获取用户直连网站的IP地址后定位用户的住处。
网友曾问IP地址是否和本人身份一一对应？IP不会直接和本人身份对应，IP是动态的，有租用期限，开机关机都会改变IP地址，因此IP地址不等于本人身份，也不等于与网站内的账号联系。但是，国内是实名上网的机制，运营商的日志上会记录什么时间给什么用户提供了什么IP，警方只要掌握了【IP】和【时间】这两个信息，就能从运营商处调出用户身份，即你申请上网时在运营商处登记的身份。IP以及登陆时间是网站几乎一定会收集的信息。
网站能够通过删除IP来保护用户吗？可以，但其中有舍取。网站判断用户被盗号、账号共用、账号买卖都是通过IP，不保存IP的确使网站的部分功能不便。网站或许可以做到只保存12小时之内的IP等等，但是，【制定安全上网策略不能依靠网站良心】。
法律风险
那么我写h文，会有什么法律风险？ 相信2025年6月份海棠案的舆论起来后，有很多法律界人士站出来呼吁以及科普相关的法律知识，本文不再赘述，欢迎网友作出整理。这里只放我保存的： 微博@虞尔梨的法律科普：https://weibo.com/7864803857/5065555294034470 博客上的文字备份：https://write.otter.homes/yui/yu-er-li-fa-lu-ke-pu-bei-fen 微博@早睡早起的cooova5000写的《网文书写与执法应对》备份，本文揭示警方如何收集证据链，如何证明“小说是你写的，是你传播的”，如何通过销毁证据链达到降低风险的目的。
（搜起来才发现当时浩浩荡荡的舆论，不违反平台规则的科普到现在也没什么遗迹了。）
简短地强调： 以现有法律写免费h文达到一定的传播量也会被判“传播淫秽物品”罪，海棠案中免费作者也被传唤，因此并不是“不盈利就没事”。
Q：我不想接受国内平台的审核，那我去XXX、YYY、ZZZ平台写清水文应该没问题吧？ A：法律上没事，但对“清水”的定义权不在我们手里。实际执法操作中看网站定性，海棠案发生的情况请参考一蟹老师的微博（已删除）：
刷到█████的消息，还是多嘴一句，想写小说的朋友如果能看到这条尽可能不要选这种网站了，找国内有审核的吧，别说什么不写h就没事，你们知道我认识很多今年（指2025年海棠案）被带走的作者，有好几个自认为自己并没有超越边界描写的被带走关了几个月，当一个网站被定性的时候，很多时候讲不清楚，标准不在自己手里，我从来不说什么假话的，这些都是真的，千句万句真的不值得，别给自己人生留隐患，本来活着挺难了。
因此，即使写清水文，也做好心理准备。
从两次海棠案的经验得出，人在国内，通过写带黄色情节的小说盈利很难绕开国内金融系统，一旦盈利警察就能通过你的银行卡/支付宝/微信等等的账号锁定真实身份。因此，下文中建议的安全上网措施，是基于境内作者写免费文，并且都发在境外网站的基础上制定的。
那么接下来作者需要问自己，我愿意为安全付出多大的代价？技术上最简单但实施起来最难的一步，是身份隔离，意味着不开关联微博、不开QQ读者群、不在微信上和亲友诉说脑洞，读者数量骤降。其次，以下提到的大部分服务都来自英语世界，了解并使用这些软件需要一定英语能力。安全和收入、名声不可兼得。 每个人情况不同，有些作者愿意为了收入承担更多风险，在海棠或者爱发电继续更新；有些作者十分想要获得更多的读者，无论如何也要在微博上宣传；有些作者一点风险也无法承担，愿意只写清水文。请作者们了解自己的心理承受力和风险承担能力，做出相应的决策。
作者自查清单
社交身份隔离
推荐阅读AO3文章Chapter 4：社会工程学简介
身份隔离是技术含量不高但对于作者来说最难做到的部分，即你在境外网站的写文账号和内容不与任何国内账号、国内身份关联。
国内实名上网的大环境下需要有共识：任何软件都没有秘密，都关联起你的身份，想查就查；发在国内平台的内容一定会留痕，不管你销号或者删除。包括但不限于微博、QQ、微信、小红书、抖音、快手等等；国内云盘从服务器端就设有审查，扫描你的文件；国内任何邮箱的邮件内容都能在服务器查询到。 如果有新平台/新服务出现，服务器在国内、国内注册备案、需要手机号实名制的，不需要再问安不安全的问题，一定不安全。
假设你在境外写文网站上注册账号AA并且写了h文：
- 不要在微博、小红书、QQ空间、微信朋友圈、抖音、快手等任何国内平台提你的账号，更不要宣传你写了哪篇文章；
- 不要通过微信、QQ聊天、QQ群等国内即时通讯软件分享你的文章；
- 不要给读者/同好提供任何实名账号信息，不要组读者群；
- 不要在境外的账号上提到境内平台的账号；
- 列下去没完没了……
- 我友虚构故事：某天她刷小红书，被推送一位作者发的笔记“连载三个月，虽然kudos不多但我心满意足”，笔记内无文章标题、无作者ID，仅展示了AO3的公开数据即kudos, bookmarks还有hits以及对应的日期，作者在评论区回复其他人“是xxx圈的啦”，我友便找到了这位作者的AO3文章。
- 追踪链接：如果你直接复制B站、小红书、微博等等国内平台的链接贴到国外网站上，链接里一大串的字符会包含追踪链接，能够定位到你在国内平台的ID等一系列信息。如今追踪链接对于普通人来说难以辨认，比如B站的短链接就包含了追踪信息，小红书的链接若删除了追踪链接就无法分享。因此，最保险的做法：在境外平台上不要发送国内平台的链接。
- 总之不要在国内的软件上透露能够定位到你境外账号的信息，不要在境外网站上透露国内平台的信息，确保自己在任何链条上都没有关联到实名账号。
注册境外网站时，不要留下任何关联国内账号、手机号的信息。不要使用绑定了手机号的邮箱。
如果之前写了高h文并且已和国内身份关联，衡量自己的风险后考虑以下选择： 还没完结的文选择坑掉，删文，全平台销号，与前尘往事断连。 很残酷，但是请考虑清楚。
基础措施
电脑端
代理（VPN）: 既然海棠已经发生通过IP找人的惨剧，为了避免被找到建议作者选择发文前套层VPN。VPN要选择靠谱VPN。有些VPN是网警钓鱼，会记录行踪。有技术的朋友可自建（我猜你也不需要读这些……）。 鉴于普通人分辨VPN是否靠谱的门槛较高，这里直接推荐迷雾通https://geph.io/zhs 免翻墙下载地址https://waa.ai/xiazaimiwutong
迷雾通开发者是网络安全研究者，注册不需要邮箱也不需要手机号，有免费通道，现在连密码都不需要了，但一定要记下那一长串数字即你的密钥。 有时候会有连接不稳定的问题，朋友吐槽迷雾通又连不上的频率变高了……
是否使用付费服务：这里存在一个取舍问题，因为免费通道会比付费通道慢。我在这里补充一点，引用迷雾通的开发者解释他的付费通道为什么无法被追踪：“迷雾通使用一个基于blind signature的加密学概念来进行用户验证。简而言之，就是用户可以向翻墙代理证明自己是注册过并付费过的用户，而不透露自己是哪一个用户。这样，注册支付这种「敏感」信息就和浏览活动从数学上隔离了。” 但也要注意，使用付费服务的风险在于，警察可以追踪钱的流向（多少钱，付给谁）查到你买了付费VPN。钱流追踪比技术追踪有效得多。做敏感事情时只用免费VPN。
使用：Windows用户直接下载，连接上就能用。 Mac用户需要在系统里设置代理。
在连接迷雾通客户端后，点击Mac的“系统设置”，在搜索栏输入“proxies”，点进去。 打开“Secure web proxy (HTTPS)”按钮，Server一栏输入“localhost”，port一栏输入9910 打开“SOCKS proxy”的按钮，Server一栏输入“localhost”，port一栏输入9909 点确认
点开Firefox右上角三条线按钮，点进settings，搜索一栏输入“proxy”，点击proxy页面，确认是“Use system proxy settings”就可以了。
Safari和Chrome应该能直接用。
设置好VPN后，能注册很多海外服务了：
邮箱：大部分写文网站都需要邮箱注册。放弃使用国内邮箱，国内邮箱的内容是透明的，并且因实名制和个人身份绑定。注册outlook、hotmail等在国内提供服务的国外邮箱，如果需要手机号就用国内手机认证。
然后去注册不需要手机号的邮箱，一下两个都需要翻墙： tuta mail 不需要另一个认证邮箱，安全性好，最推荐，免费容量1G，可自选不记录IP，可注销； protonmail 需要用另一个认证邮箱，可用outlook、hotmail等等认证；有些安全人士会避雷这家，因为protonmail有向法国政府提供人权活动家信息的记录；仅注册的话没啥大问题，用了protonmail的朋友无需惊慌；免费容量500M，可免费设置10个伪装名（即aliases）；可自选不记录IP；可注销。 注：2026年3月爆出有活动家注册了protonmail帐号并购买了会员，TA购买会员的钱流被protonmail提交给FBI用于反向追踪这名成员。如果你从事更高敏感的行业，建议不要选择protonmail（至少不给他们花钱）！
谷歌搜索临时邮箱，关键词“temp mail”，页面会生成一个邮箱，接收验证码之类。不过你需要记得是在哪个网站、以及生成的邮箱名字，下次使用时回到那个网站搜索邮箱名即可。不过你可能跟其他人共用邮箱。 1. 最好可以开启使用temp mail注册的账号的二步验证，否则知道你账号邮箱地址的攻击者可以通过找回密码重置你账号的密码。 2. 使用即抛邮箱可能导致你的账号看起来比较奇怪，或者在有人工审核的平台被误认为spammer而拒绝注册申请。
换掉浏览器：不要使用国产浏览器，会记录你的上网行踪；Chrome, Firefox, 苹果的Safari三选一。 Chrome明确说过会收集用户访问记录，Firefox更尊重隐私。不过在安全性能上，Chrome比Firefox要好。所以更习惯用哪个就选择哪个吧。如果选Firefox，要下载英文版本，不是国内版本的“火狐浏览器”。定期清理浏览记录。 建议发文用的浏览器是专门的浏览器。
第二层代理：在开启VPN的情况下，使用Tor浏览器tor browser 前一份安全手册提到使用tor，是在你无法辨别VPN是否靠谱的情况下使用。“不安全的VPN”会记录你的登录时间与IP。假设警方攻破网站后台，拿到你代理后的IP，发现使用某老王VPN，然后再通过VPN提供商拿到你的真实IP。使用Tor能减少这个风险。
其次Tor是无痕浏览器，不保留浏览记录，避免警察拿到你的电脑后通过浏览记录固定证据。
如果你能确定使用的VPN可靠性高，不套tor也是可以的。记得发文时使用专门的浏览器，以及每次访问完网站后清除历史记录，或者长期使用无痕浏览模式。
关闭浏览器的WebRTC：WebRTC是浏览器内置设置，方便使用浏览器语音、视频通话、点对点传输等功能，比如你在浏览器上用zoom/腾讯视频会议等等，就需要WebRTC。WebRTC会绕开代理收集真实IP。
如果你访问的网站（比如写文的网站）不需要开视频会议、语音聊天等，问题不大，WebRTC不会泄露你的真实IP。
曾经有过钓鱼攻击的案例就是利用WebRTC，如果你希望关掉WebRTC（然而不能使用浏览器打语音和视频），可以：
Firefox：Firefox 用户可以在地址栏输入 about:config，搜索 media.peerconnection.enabled 并设为 false.
Chrome: 安装扩展程序WebRTC Leak Prevent.
Safari: 点击左上角Safari – 设置 – 点击“高级”选项 – 选中“显示网页开发者功能”的小方块 – 下拉菜单中选择“试验性功能” – 一直滚动到底部，点击“WebRTC mDNS ICE candidates”以禁用。
Tor浏览器：本身就无，不需要关闭。
输入法：不要用任何第三方输入法，尤其是国产第三方输入法，会收集你的打字信息进行数据分析。建议使用系统自带的输入法（Windows或者Mac自带）。如果系统自带输入法不好用，试试RIME .
网盘保存：放弃使用任何国内网盘。苹果的iCloud内容尽管加密了但也会上传至云上贵州，不建议使用（注：iCloud内容加密需开启“高级数据保护”功能）。注册国外网盘Dropbox、Mega.io，并做备份。 Dropbox：注册不用手机号，免费额度2G。 Mega.io：注册不用手机号，免费额度5G。保密性差一点，但是备份黄文足够了。 都需要翻墙。
码字软件：码字软件不建议使用联网云存储的国内品牌，WPS更是有私自读取网文作者存稿的前科。免费软件可使用LibreOffice，Windows, Linux, MacOS都支持。Windows用户可选择免费版Word或者国外的笔记软件simplenote（目前未被墙，可云端储存），Mac用户可选择自带的文本软件pages，国内Mac用户注意不要将文本自动备份到iCloud，会上传到云上贵州即国内服务器，仅在本地写作。
密码管理器：不要和国内的账号共用同一个密码，避免信息泄露之后通过对比你在两个网站上使用相同密码而关联身份。如今网站繁多，搭配密码管理器使用。如果你是苹果用户，使用apple keychain，是端到端加密，苹果看不到密码。 如果你非苹果用户，需要云同步的话，使用Bitwarden; 如果你只需要本地储存，就下载Keepassxc.
为了安全，浏览器密码储存是明文，不要使用浏览器的密码储存/自动填充密码功能。
AI：不建议在任何AI上聊你的写作，上传写作内容。 你和AI说的所有内容都会保存至服务器端，被AI公司收集并加入数据集里训练。 如果你不希望自己的小说被AI拿去训练，不要在任何联网AI/大数据模型，无论国内国外，上传你的小说或者小说片段。
如果你不介意自己的文本被拿去训练，因为单机太久想找AI给你反馈，那还是那个原则，不要使用任何国产AI，强大如Deepseek也不要用。翻墙后找国外的AI，比如某某，某某，某某某。
磁盘加密： 这一步是预防在极端情况下警察收走你的电脑，恢复已删除的数据，翻出已删除的底稿作为“你就是这个作者”的证据。如果给磁盘分区、加密，那么你删除了文件之后，即使能恢复数据，也只能看到一堆乱码。
风险是如果你忘记密码和密钥，所有人包括微软和苹果都无法帮你恢复数据……
对普通人的建议是全盘加密，因为很多人是系统和数据放一个分区上。风险就是忘记密码后，除了底稿连同其他重要数据一同丢失。
需要注意：很多磁盘加密只有在设备关机的时候才能确实有效地保护数据，所以人长时间离开电脑请尽量关机。
Mac系统：官方出了一系列教程说明解释。Mac内置FileVault（即文件保险箱）， 可通过阅读官方教程给文件加密。 文件保险箱介绍 点击左上角的苹果图标 – 系统设置 – 隐私与安全性 – 下滑找到“文件保险箱”（FileVault），点击开启，有两个选项，一个是允许icloud，一个是密钥恢复，更加安全点是选择密钥恢复，【一定要把密钥储存到安全的地方】。密钥丢了，你又忘记密码，那等于找不回数据…… 开启文件保险箱，已删除的数据无法直接恢复，需要密钥（而不是开机密码）。问就是丢了。
Windows系统：使用系统内置的BitLocker，参考官方的BitLocker说明。Again，只有有密钥的情况下才可能恢复数据。 BitLocker概述
Linux：真的有用Linux写文的姐妹吗请举起你们的双手！你都使用Linux了一定有能力找到对应解决方案！
社交：女频写作中作者和读者的紧密联系是重要特征，作者也希望自己的小说被更多人看到，于是在微博小红书上宣传、开设qq群分享文件是常有的事，但是这些操作都给作者增加了被举报、被开盒的风险。之前网友推荐了长毛象、Bluesky等境外社交媒体平台，观察下来大部分人不愿付出这么大的迁移成本，丢失已在国内平台上积累起的读者而搬迁，因此效果不佳。
折中的方案是一切关于小说的交流都在境外写文网站上，不管是推文、留言等等，站内事站内闭。网站上的书单也利用起来，多给站内作者增加曝光，让作者不需要冒险回微博小红书等地宣传自己。
如果不怕麻烦，自行搜索：长毛象、Misskey、Bluesky等境外平台，不推荐X，需要手机认证容易被网警找上，还会被强行观看马斯克发癫。
如果真的很想和亲友交流，并且你们都在使用苹果手机，就用苹果自带的iMessage功能。iMessage是目前国内唯一端对端加密的通讯软件。端对端加密的意思是服务器层面看不见你和你亲友说了什么，而国内的主流软件微信QQ等等都能在服务器上查到你的聊天内容。关闭iCloud的对于message的同步功能，不将聊天内容上传到云上贵州。
如果不用苹果手机，拉上亲友一起注册端对端加密即时通讯软件Matrix，注册邮箱使用国外的邮箱，目前至少Matrix element的实例还没被墙，使用起来有一定门槛；或者退而求其次，选择用邮箱和亲友交流（亲友的邮箱也用海外邮箱）。
手机码字
本文对手机码字的介绍不全面，并且如果要刷机，操作起来很有门槛，手机也有变砖的可能。
在国内大部分人使用国产安卓手机的前提下，建议大家尽量使用电脑码字。如果不得已，只能使用手机码字，并且想写h文（或做其他有保密需求的事），建议如下。
不要使用国产安卓手机，不要使用国产安卓系统。国产安卓系统内置许多流氓软件、信息手机程序，会收集并报告你在手机上的活动。系统本身不可靠的情况下强烈建议不要使用它做风险的事。
通常，国外品牌的手机（包括国行和外区）这方面的情况会比较好，仅考虑安全性的话推荐 Google Pixel 和 iPhone，不过iPhone设置翻墙比较麻烦，如果需要安装迷雾通的话需要将应用商店转到国外。如果可以的话，在淘宝上购买一个国外品牌的手机，二手也可购买，但请记得到手先恢复出厂设置，以防不测。
注意二手市场上有一些说是“不能插卡”的iphone，这些手机其实不能恢复出厂设置。这些手机其实是非正常来源（丢了、被偷、被抢等等）。手机被软解锁后，暂时不会要求输入原主人的苹果账号密码了，如果恢复出厂设置，就会重新开始要求原主苹果账号的密码，这手机就相当于是废了。 在二手平台购买iphone前，建议先询问卖家“这手机能重置出场设置吗？”或“这手机能插手机卡吗？”，卖家回答“可以”再购买。
若使用海外版安卓手机，建议建立“多账户”，将国产软件放在一个账户，写作相关放在另一个账户，两个账户区隔开，国产app无法恶意访问你的写作账户。
如果只能购买到国产安卓手机，你需要一台电脑，会操作命令行，刷入第三方系统比如LineageOS，对于普通人门槛太高，一般情况下做得到的人可能与“只能购买国产手机”相悖……
如果你依旧想刷机，参考能够刷LineageOS的手机，网站上列出了对应手机LineageOS以及详细的刷机教程。刷机后，安装Fcitx5输入法，Fdroid上下载软件或者自行搜索apk，国产app到豌豆荚应用商店下载，注意LineageOS与有些国产app不兼容。建议在LineageOS上开设多用户，国产软件专门放在一个用户里，与其他操作隔离。
如果只能在国内买手机，总结： 1. 买iPhone （注意这样的话安装翻墙软件就很难了），海外版买不到就买国行； 2. 非国产非国行的手机，最简单的方法是走闲鱼； 3. 买一加5-9刷机。
翻墙有风险吗？
翻墙违法吗？是的。
会被警察找上门吗？有概率。
如果不幸下载的是网警钓鱼的翻墙软件，警察想冲业绩时风险加倍……
转自网友发言：
Q：想问问翻墙被找概率和一般处理结果是怎么样的？
A：先说结论，如果你不是在乡镇或者农村，被找概率不大。如果没有发表过敏感言论，处罚很可能是行政处罚➕罚款几百元。就是打电话叫到局子说教一顿，签字交钱走人。（1.违法记录可能会对政审有影响 2.如果没记错的话三年后会抹去记录 3.别的省查不到此记录）
具体被找几率取决于你所在地区，你可以看看本地的行政处罚公开网站，搜索处罚原因“国际联网”，就可以查看你的所在地是否管翻墙了。（大致是这个流程，但我的记忆不精确，希望有懂行网友可以再补充一下）。
由于我也害怕被找，去年研究了自己所在的四线地级市的处罚案例，23年六月到24年六月约有二十到三十个人被请茶。其中有一半人仅浏览被处罚，大体是“某人使用某vpn，浏览油管，X，电报”。怀疑他们用了钓鱼vpn、或者实名手机号收验证码被运营商标记了、或者被反＊监控到了。
总结1.使用可靠vpn（有kill switch功能的最佳） 2.不要用实名手机号收任何墙外的验证码 3.卸载反诈中心 总之还有这样几点混杂在一起的规律和建议，来自于我个人的猜测和几次周旋经验，以及从诸位好心太太那里紧急学习的网安知识: 1.地方越小，翻墙越危险
2.逢年过节前的集中冲业绩期慎翻
3.敏感纪念日前后、开大会期间慎翻
4.关注一点本地新闻和流言，如果发生了恶性大案、或者集体敏感活动不要翻。（前者很可能会让舆情、网络之类的监管加强；后者你走在大街上都有可能被随机拦路查手机 。） 5.不要浏览更不要下载暴恐血腥视频，这是唯一一个仅浏览也违法的视频种类，持有超过一定数量/时长甚至入刑。 6.不要在X关注、评论点赞敏感大V，否则可能像从海棠读者书柜里顺藤摸瓜抓作者一样的原因找你。 7.确实有触发上门反＊宣传的几率，此时如果你选择开门，谨防被套话，不要主动招出额外的东西。 8.call你有两种情况，第一种是针对你个人的反＊教育或者处罚科学上网。此时不接电话，会骚扰你的亲戚朋友学校，甚至直接上门。不开门不接电话的操作难度有点大，而且每个人情况不同、难有普遍有效的应对方式。所以这种情况处理方式同上一条 9.第二种call不是针对你个人的，事后抓嫖娼就是给一群人打电话，谁去了就处理谁。科学上网、反＊等冲业绩也同理，大规模call人的情况你不接电话大概率无事发生（亲身实践过了） 10.这种小事不会临控更不会挂网逃，放心吧。 11.如果没有披着反诈外衣，而是直接表明处罚科学上网，对方多半只有线索没有证据。比如在vpn掉线时知道你看了什么网站，但不知道你具体浏览了哪个网页的什么内容。 12.真正的证据在你的口供和手机里。他们能看到什么，取决于你有什么样的准备。 13.如果你不是在偏远乡镇，或者个别特别喜欢抓翻墙的城市，比如山东淄博或边疆地区，真的不用过于忧心！
注意，政策一直在变动，现在的情况不一定适用于将来。网络安全的学习需要定期跟踪，与时俱进。
安全文化的宣传需要社区支持
2024年8月，海棠第一批作者被捕后写作《作者安全创作手册》有部分心理是因为冲动，希望通过科学分析以及技术科普让创作社区不要太过慌张。当时没有经历过什么，觉得免费文也不会有太大问题，脑里的图景是“写完这篇文章，作者照做就好啦，之后就不用担心了！”现在反思起来，当时的想法还是有些理想与天真。
社区经验的传递太不容易，自以为一篇文章能起到很大作用，实际不然。即使2025年6月份海棠案引起那么大的舆论，舆论过后国内该删帖删帖，阻断了社区经验传递。因此灾难过后，依然会有人说“进去的作者都是因为赚了钱，免费写文没事”，依旧会有作者在微博挂上自己的爱发电主页，直到下一场灾难的到来。
其次，风险提醒的工作吃力不讨好，如何提醒也很讲技巧。如果作者兴高采烈地分享自己的小说，你在下面说“太太不要发微博，注意安全”！容易引起逆反心理，会被人认成“爹味说教”，本想让作者采取安全行动，最后不仅达不到效果反被骂。致力于宣传安全的人未免也会感到挫败。
国内作者就算做好安全上网的准备，依旧要付出很大的心理成本。试想一位作者上网做到隐藏IP、不与在任何国内平台交流，然后警察抓捕作者的事情发生了，她难道会想“没事儿，抓不到我，反正我很安全”？还是每天自查“我究竟有没有遗漏什么，警察会不会找到我？什么时候找到我？”，惶惶不安？
安全知识的学习成本。一位没有技术背景的作者决定写h文，为了保证自身安全她还要打包了解相关法律和安全上网的技术知识。后者需要良好的英文能力和收集信息的能力，需要跟踪知识更新。安全线是不停变动的，安全产品也有暴雷风险，谁都没办法保证用上某个软件后就一劳永逸。相当于作者同时打两份工，写文和学习自保，谁有这个精力？
出事之后，读者会告知作者写带肉文章有风险，作者一定要做好身份切割以及上网保护，推荐阅读XXX文章！然后就没有然后了。不是说指路不对，而是相当于把安全上网要花的精力全部让作者承担，对于作者来说不公平。每个人使用的操作系统不同，软件安装步骤繁琐，踩坑率高，一篇或几篇文章难以覆盖到解决所有问题，仅凭作者自己去折腾一切，难免遇到挫折甚至崩溃，坚持下去很难。所以——安全文化的宣传需要社区的力量。
意思是，我们需要很多人共同建设。没有技术的就宣传曾经的经历和风险，有技术的就帮忙回答技术问题，互帮互帮解决软件使用问题。让作者感觉到，我自己弄不明白，没关系，我去找社区姐妹帮忙。真正做到分担。同时也要做好心理准备，做科普工作就像西西弗斯推石头，要不断地讲、同一个问题不断地重复，甚至重复很多遍了还会发现，为什么还有那么多人不懂？挫败是难免的。但只有这样，社区经验才有一点点可能会传递下去，我们才有一点点自信说，写你想写的文字吧。
说实话，在这个党同伐异、互相攻击的恶劣环境里，是否能建立起这样互帮互助的社区，我也很怀疑。一篇文章起不了什么作用。但谁知道呢？如此肯定地认为今日所作所为无用，是否也是一种傲慢，以为自己能预测未来？我不知道。理想的种子或许不是死了，只是潜伏起来，等到合适的环境破土而出。
最后用上一篇安全手册的结尾结尾吧：
我不能给出任何保证，无保证的事只能归于信念：事情做得足够久就会被看见，作者和她的读者总会有相遇的一天。