洋葱地址为什么以 .onion 结尾

普通网站在浏览器里输入域名后，需要经过 DNS 解析得到 IP 地址。.onion 地址不进行这样的解析，它直接把地址本身与一个匿名服务的公钥关联起来。

这意味着发布一个洋葱服务不需要购买域名，也不需要暴露服务器的真实 IP。地址由服务端生成的密钥推导而来，只有持有对应私钥的人才能持续运营同一个地址。

当前的 v3 洋葱地址通常由 56 个字符组成，包含版本号、公钥摘要和校验信息。较长的地址降低了碰撞与冒充的可能，也让暴力枚举变得更加困难。

地址本身不可读，也不会告诉你服务内容。这正是暗网站点难以被集中索引的原因之一：没有公开目录，你只能通过论坛、可信来源或专门服务获取地址。

访问洋葱服务时，客户端并不直接连接服务器。双方会通过分布式哈希表选择一个会合点，在会合点汇合后再建立加密通道。

这样，客户端不知道服务器的真实位置，服务器也不知道客户端的真实 IP，双方只共享一条经过 Tor 网络的链路。

复杂地址给仿冒留下空间：攻击者可以注册外观相似的地址，或在论坛发布伪造链接。用户一旦输错或点击了错误地址，可能进入钓鱼站点。

因此，安全实践是只从可信来源获取地址，使用书签而不是搜索引擎，并核对关键字符。对普通用户而言，这本身就是一项高风险操作。