505s

你们吵吧
我去找 AI 写脚本了

所以三点核心问题都不看的吗？
-最高权限与零透明度的矛盾
-加密插件（如 `.lpxe`）防君子不防小人
-自动更新放大供应链风险
这才是问题关键吧，都开 MITM 了难道要把自己的所有请求都应该明文交给别人吗？

@darksword21 你这个语言挺猛啊。

也建议你读书后（无恶意攻你，去了解一下这个 mitm +插件 能做的能力吧。

@netox 看来只能让 agent 自己写脚本自己用了，不敢去插件中心随便一键安装一大堆了。

这篇文章探讨了代理软件（如 Loon 、Surge 、Quantumult X 、Clash 等）中 **MITM （ HTTPS 解密）加密插件**带来的安全与信任风险，核心结论是：**看不见的代码，绝不能给它看你的明文流量。**

**文章核心总结**

* **最高权限与零透明度的矛盾：** 开启 HTTPS 解密并安装根证书后，MITM 插件中的脚本可以直接读取你的明文流量（含密码、Cookie 、Token ）、篡改网页响应，甚至利用内置 API 悄悄将数据外发。
* **加密插件（如 `.lpxe`）防君子不防小人：** 客户端本地必然存有解密逻辑，插件加密挡不住有逆向能力的人，却彻底剥夺了普通用户审查代码、排查恶意逻辑（尤其是特定条件下才触发的代码）以及跨软件迁移的权利。
* **自动更新放大供应链风险：** 一旦插件加密且支持远程自动更新，每次更新都相当于在完全盲盒的状态下重新授予最高网络权限，抓包也难以捕捉条件触发的偷跑流量。

**你该如何防范**

1. **拒绝加密 MITM 插件：** 绝不给任何加密、混淆或看不见源码的插件授予 HTTPS 解密权限。
2. **按需开关与证书管理：** 日常不需要去广告或重写功能时，直接关掉客户端的「 HTTPS 解密」总开关；在 iOS 「证书信任设置」中也可以随时关闭根证书信任。
3. **严格审查并排除敏感域名：** 检查已启用插件的 `hostname` 列表，警惕 `*` 通配符或与插件功能无关的域名；利用排除语法将银行、支付、邮箱、工作系统和 AI 服务永久排除在解密范围外。
4. **锁定本地明文副本：** 对必须使用的明文脚本，审查后保存为本地副本，避免直接使用远程订阅链接自动更新。
5. **保护根证书私钥：** 切勿分享包含 `ca-p12` 和 `ca-passphrase` 字段的配置文件。

**该用哪个软件**

* **首选推荐：[新版 Clash 客户端]( https://clash.md/zh/)（基于开源内核 [ProjectClash/Clash]( https://github.com/ProjectClash/Clash)）**
如果你看重代码可审计性与权限透明，文章推荐采用基于 mihomo 开源内核的新版 Clash 。它的核心优势在于客户端与内核代码开源可核对，「 HTTPS 解密」默认关闭，且会在 App 内以只读列表清晰展示所有已启用模块的解密域名范围，兼容导入主流明文模块。
* **如果继续使用 Surge / Quantumult X / Shadowrocket / Loon：**
这些软件本身都具备完善的代理与分流能力，只要**坚持只用明文脚本/重写规则**、彻底远离 `.lpxe` 等加密插件，并养成在不用时关闭 MITM 总开关的习惯，同样可以安全使用。

Gemini is Al and can make mistakes.

Fable 延期了，顺手更新到了支持 sing-box 1.14.0-alpha.40 和 1.13.14 ，也增加了 https://github.com/huixiao666/pk-box/ 的 E2E 测试。

@v2starmap 可以脱敏后发我你的多个 json 给我参考吗？

@sunls 还在继续优化添加各种节点以及节点上下游连线的问题，争取好用起来。