a5d980a5e9
实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。 完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。
4.4 KiB
Finance 分组与金融服务规则（2026-10-13）
后续按用户要求删除了旧手动 DOMAIN-SUFFIX,paypal.com，保留 DOMAIN-KEYWORD,paypal；最新 Finance 为 86 条规则，生产共 265 条（263 启用）。全面检查结果见 移动端校验。下文 87／266 条属于新增组时的历史阶段。
用户授权为 Plasma One、PayPal 新增英文金融分组，指定成员顺序为美国、日本、新加坡、最后 DIRECT；默认美国，不加入 All Nodes。
分组与规则来源
💰 Finance 为手动 select，成员依次为 🇺🇸 United States、🇯🇵 Japan、🇸🇬 Singapore、DIRECT，显示在 Bybit 后、Mainland 前。默认是第一项美国地区组；地区组自身仍采用现有测速机制，并非固定单一节点 IP。Bybit 保留独立组。
PayPal 来源为 blackmatrix7 PayPal 清单。它包含 246 条域名后缀、1 条 paypal 关键词及 1 条旧 USER-AGENT。此次保留关键词和不被该关键词覆盖的 80 条后缀，另将既有 paypal.com → 美国 改为 Finance；域名覆盖与上游 247 条域名规则等价。未导入 USER-AGENT，避免依赖可见 HTTP 请求头。上游包含 Braintree、Venmo、Xoom 等 PayPal 家族域名，也会交给 Finance；关键词会匹配其他含 paypal 的主机名，分流命中不代表站点可信。
没有找到 Plasma One 的现成专用分流清单，按官方入口与开源 SDK 整理：
- Plasma 官方入口：旧
one.plasma.to已跳转至该页面。收录plasma.to、plasma.org后缀。 - plasma-card-sdk constants：API 为
pay-tasks.prod.plasma-one.tech，WebSocket 为pay-tasks-ws.prod.plasma-one.tech。收录plasma-one.tech后缀。 - SDK 认证实现 使用
auth.privy.io，并引用recovery.plasma.org；Privy 官方钱包 API 文档 使用api.privy.io。后两者采用精确 DOMAIN 规则；它们是共享钱包服务，其他 App 对这两个主机的请求也会进入 Finance。
没有加入搜索中出现的非官方同名 meme 项目，也未按伙伴名称泛收 Bridge、Rain、SumSub 等完整域名。Plasma App 的更多身份核验、第三方充值或链上 RPC 请求仍需实际连接日志补齐。
现有管理 API 仅能读取规则集目录，不能创建新远程规则集。因此本次通过规则 API 写入显式快照，未改数据库表或代码、未部署服务、未 reset。快照见 rules/finance.list，不会自动追踪上游变化。
生产操作与验证
在线备份：/opt/proxy-station/data/backups/before-finance-plasma-paypal-20261013-171418.db，写入前确认 root 属主、600 权限、非空。
新增 1 个组、4 个成员、86 条规则，另定向修改已有 paypal.com 的策略。新规则放在原 paypal.com 位置的业务例外区段，在 AI 后、广告和通用分流之前；Unbreak 仍先于 Finance。已有其他规则内容与相对顺序保持，唯一启用 FINAL 仍在末尾。不改节点、Surge 原文设置或客户端已保存选择。
管理 API 重读验证：13 个组、25 个显式成员、266 条规则（264 启用），87 条规则指向 Finance；既有规则除 paypal.com 的策略与排序序号外保持不变。实际 HTTPS Surge、Clash、Shadowrocket conf 均包含 Finance 组及 87 条规则，四个成员顺序正确且没有 All Nodes；Surge self URL 也已核对。
Surge 官方 CLI 与静态防护检查通过。因本机到 GitHub 的连接失败，本次通过 LA 只读下载公开外部规则集：49/49 快照下载成功，本地快照再次通过官方 CLI，静态域名遮蔽提示为 0。代表性官网、API、WebSocket、Privy、PayPal 与 Braintree 主机均已检查显式域名匹配。CLI 与域名检查不模拟设备缓存、IP／进程／协议路径，也不代表支付或登录已验收。没有可用的 mihomo，因此 Clash 完成产物结构核对，未做原生解析；移动端也未做真机验收。
客户端需更新订阅；未代用户登录、查询余额或执行支付／转账，也不以配置检查宣称业务连接已验收。