SFI 导入订阅教程：sing-box 官方 iOS 客户端怎么用

先说结论

SFI 是 sing-box 官方文档中对 iOS 客户端的称呼。官方文档对它的说明包括两部分：一是 App Store 上的 iOS 版本，二是供越狱设备使用的安装包。两者在名称与分发方式上并不完全相同，因此本页先把概念分清楚，再谈导入。

核对结果显示，官方文档将 SFI、SFM、SFT 描述为可以管理并运行本地或远程 sing-box 配置文件的客户端。这一点与导入订阅直接相关。

对 iPhone 用户来说，真正卡住人的通常是“拿不到应用”，而不是“不会导入”。所以本页把篇幅主要放在三处：外区 Apple 账号怎么处理、App Store 与 TestFlight 两条官方渠道的差别、以及越狱安装包到底适合谁。

官方来源核对结果

以下条目全部来自官方文档及其指向的页面，没有在页面上直接看到的内容，表格中注明「未能核实」。

字段	核对结果	来源
版本号	未能核实	官方文档未给出 SFI 的具体版本号
发布日期	未能核实	官方文档未给出发布日期
平台	iOS 15.0 及以上；越狱安装包要求 rootless 或 roothide iOS 15.0 及以上	https://sing-box.sagernet.org/clients/apple
价格	未能核实	App Store 页面未打开核对
许可证	未能核实	官方文档未标注许可证
App Store 名称	sing-box MT（依据链接后缀推断，未直接核实）	官方文档中的 App Store 链接
官方源码	https://github.com/SagerNet/sing-box-for-apple	官方文档给出的仓库地址
越狱安装包	SFI-iphoneos-arm64.deb（rootless）；SFI-iphoneos-arm64e.deb（roothide）	官方文档指向的 GitHub Releases

商店名称一项只是根据官方链接末尾的 sing-box-mt 推断出来的。在 App Store 里搜索时，如果显示的名称与此不同，以商店页面和开发者信息为准，不要被名字相近的其他应用误导。

SFI 需要外区 Apple 账号

官方文档要求使用非中国大陆区的 Apple 账号下载 App Store 版本。这是 iOS 版与安卓版、macOS 版最大的不同：安卓可以直接装 APK，Mac 可以用 Homebrew 或安装包，而 iPhone 在不越狱的前提下，只能经过 App Store 或 TestFlight。

处理账号时有几条原则值得遵守：

• 优先使用自己名下的外区账号。网上流传的“共享账号”来源不明，一旦有人在系统设置里用它登录 iCloud，设备可能被远程锁定，风险远大于便利。
• 只在 App Store 的账号入口切换账号，不要在系统设置顶部的 Apple 账号处登录别人的账号，后者会同步通讯录、照片等个人数据。具体菜单位置随 iOS 版本调整，不同版本名称略有差异。
• 已有账号想改地区，Apple 通常要求先处理余额、订阅等条件，按 Apple 的规则操作即可，不要通过其他途径绕过限制。

账号地区的更多背景可以参考 Apple 账号地区说明。另外，官方文档也提到 App Store 版本的可用性可能随 Apple 账号与审核情况变化，搜不到应用时先回到官方文档确认当前状态。

App Store 与 TestFlight

两条官方渠道面向的人群不同：

• App Store：官方文档将其列为 iOS 与 Apple tvOS 的主要下载渠道。用外区账号下载后，后续更新由商店推送，切回国区账号也不影响已安装应用的使用，只是更新时可能需要重新输入外区账号。
• TestFlight：文档说明测试名额仅面向赞助者开放，邀请通过官方指定的途径发出。TestFlight 是 Apple 官方的测试分发工具，测试构建有有效期，过期后需要安装新的构建才能继续使用。普通用户不要依赖这一渠道，也不要相信网上公开转发的所谓“TestFlight 名额”。

从 App Store 版本切换到 TestFlight 构建，或者反向切换，系统一般会以覆盖安装的方式处理。为保险起见，切换前先在客户端中记下自己的订阅链接，以便重新导入。

越狱安装包与普通版的区别

同一个 SFI 名称之下，官方文档还提供 .deb 格式的越狱安装包，分为 rootless 与 roothide 两种，对应的文件名见上表。它们只能装在已经越狱、且越狱环境类型匹配的设备上，同样要求 iOS 15.0 及以上。rootless 与 roothide 是两种不同的越狱文件布局，装错类型的包通常无法正常运行，选择前要先弄清楚自己设备使用的是哪一种环境。

与 App Store 版本相比，越狱包的差别主要在于：没有商店统一推送更新，需要用户自己到 GitHub Releases 下载并通过包管理器安装；系统的沙盒与签名限制被越狱改变，出现异常时排查与恢复的成本更高；越狱设备在升级系统、使用银行类应用时也常常遇到额外麻烦。

所以本页的立场很明确：已经因为其他原因越狱的设备，可以把越狱包当作一个可选项；没有越狱的设备，没有必要为了使用这个客户端去越狱。本页不提供任何越狱步骤。

SFI 在 iPhone 上导入订阅

SFI 的界面以 App Store 当前版本为准，不同版本名称略有差异，下面只写操作思路：

1. 向机场确认订阅能被 sing-box 直接读取。只有 Clash 格式的链接，在 SFI 中通常解析失败。
2. 在 SFI 中进入配置文件管理，新建远程配置，粘贴链接并命名。iOS 粘贴时可能弹出“允许粘贴”的系统提示，这是剪贴板隐私保护，允许即可。
3. 保存后手动刷新一次，确认配置内容已经拉取成功。
4. 回到首页选中配置并启动。第一次启动时，iOS 会弹出“想要添加 VPN 配置”的对话框，并要求输入锁屏密码或进行面容识别确认。这一步由系统完成，客户端无法代替你确认。
5. 授权后，系统设置的 VPN 页面中会出现一个新的配置条目，状态栏也会显示 VPN 标识。

SFI 连接异常的排查顺序

1. 订阅链接是否完整，到期时间与剩余流量是否正常。
2. 刷新后配置内容是否为 sing-box 可用的结构。
3. 系统设置的 VPN 页面中，SFI 的配置是否处于已连接状态。iOS 同一时间只有一个 VPN 配置处于活动状态，若其他代理应用的配置被启用，SFI 会被断开。
4. 设备上是否安装过来历不明的描述文件。可以在系统设置的通用分类下找到 VPN 与设备管理相关页面检查，不同版本名称略有差异。
5. 升级 iOS 之后突然失效，可尝试在 VPN 页面删除旧配置，再从客户端重新启动以触发授权。
6. 个别节点超时，可参考 节点超时怎么办。

链接解析失败的更多原因见 Clash 导入失败怎么办；订阅刷新不了时见 订阅更新失败的处理思路。

系统授权意味着什么

iOS 上添加 VPN 配置是一项系统级授权，被授权的应用可以接管设备的网络流量。正因如此，iOS 会要求你用密码或生物识别再确认一次。如果在你没有操作时弹出这类请求，应当拒绝，并检查最近安装的应用与描述文件。对越狱设备而言，这层保护的有效性取决于越狱环境本身，这也是本页不建议为此越狱的原因之一。

在 iPhone 上保护订阅链接

iPhone 的“通用剪贴板”会在登录同一 Apple 账号的设备之间同步剪贴内容，复制订阅链接后，它可能短暂出现在你的 Mac 或 iPad 上。另外，系统截图会自动进入相册，若开启了照片同步还会上传到云端。分享截图前请确认链接已经遮挡。怀疑泄露时，到机场后台重置订阅。多台设备能否共用一个订阅，以机场规则为准，本页不作判断。

两个容易搞混的地方

一是名称。官方文档中 SFI 既是系列名称的一部分，也指越狱安装包，而 App Store 中显示的名称要以官方链接和商店页面为准。直接在商店里搜“SFI”，未必能找到正确的应用，更稳妥的做法是从官方文档的链接跳转，并核对开发者信息。

二是账号地区。官方文档明确要求非中国大陆区的 Apple 账号，地区不符时，即使通过链接打开了应用页面，也可能提示该应用在当前地区不可用。

相关阅读

• 在几款 iPhone 客户端之间比较，见 iPhone 客户端选择指南。
• SFI 在 sing-box 官方客户端体系中的位置，见 sing-box 下载与使用。
• 想让国内网站直连、其他流量走代理，见 分流规则怎么写。
• 机场只提供 Clash 链接时的处理思路，见 Clash 订阅导入教程。

获取渠道与安全

SFI 应当只从官方渠道获取：App Store、官方文档指向的 TestFlight（仅限获得邀请的用户），或官方 GitHub Releases 中的安装包。宣称“免外区账号”“免越狱安装”的第三方签名包、企业证书包都不在官方渠道之内，可能随时失效，也无法确认是否被改动过。判断来源的更多方法见 下载安全注意事项。

小结

SFI 是 sing-box 官方的 iOS 客户端系列名称。官方文档核实到的信息包括：iOS 15.0 及以上的系统要求、非中国大陆区 Apple 账号的要求、App Store 版本以 sing-box MT 的链接名出现，以及越狱安装包的存在。版本号、发布日期、价格与许可证未能核实，已如实标注。对大多数 iPhone 用户而言，准备好自己的外区账号、从 App Store 安装、再导入 sing-box 可用的订阅，就是最直接的路径。