proxy-station/docs/MOBILE-CLIENT-AUDIT-2026-10-13.md

Shadowrocket／FlClash 全面校验（2026-10-13）

后续本地修复与回归见 移动端修复记录。该候选尚未部署；下文保留生产审计时的行为与数量。

主要业务域名与 Finance 的分流结构正确；Clash 实际配置通过官方 mihomo 原生解析及隔离匹配测试。但两端并未完全实现 Surge 的全部规则与 AI DNS 行为，iOS Shadowrocket 真机编译、Android FlClash 的活动配置与 VPN 接管尚未验收。

生产变更

用户要求删除旧的手动 PayPal 规则。管理 API 确认 DOMAIN-SUFFIX,paypal.com 仍存在，已改指向 Finance；本次删除这条记录，保留 DOMAIN-KEYWORD,paypal → 💰 Finance。主站及子域仍匹配 Finance，其他规则逐项比对不变，没有重置规则或部署代码。

在线备份：/opt/proxy-station/data/backups/before-remove-manual-paypal-mobile-audit-20261013-172618.db，删除前已确认 root 属主、600 权限、非空。最新数据库 265 条规则（263 启用），13 个组、25 个成员，Finance 86 条。节点仍为 30 个登记、12 个启用；节点、组成员、设置及设备保存选择未修改。

官方依据

Android 目标已由用户确认为 FlClash。其官方项目基于 ClashMeta；内核子模块指向作者维护的 Clash.Meta FlClash 分支。本次查询的子模块提交为 8597778c7df410ebe88c57e59eaab32d203156df；用户设备的 App／内核版本尚未取得，不声称临时官方内核与手机内核逐字节相同。

配置审阅依据 mihomo 路由规则、策略组、规则资源、DNS、VMess和 Trojan。官方规定规则按顺序匹配、DOMAIN-SUFFIX 包含根域和子域、NETWORK 区分 TCP／UDP；UDP 选中不支持 UDP 的代理时会继续往下匹配。正则只过滤动态引入的节点，不过滤显式组成员；默认选择未指定时为首项。

iOS 目标已由用户确认为 Shadowrocket。官方 App Store 页面确认域名、CIDR、GeoIP、DNS、用户代理规则、DNS 加密等能力，更新记录也确认逻辑规则和 QUIC 匹配存在。该页面链接的开发者站没有完整配置语法手册或可调用的原生校验器。本次未将第三方手册或 Surge 编译器作为 Shadowrocket 官方语法证据；policy-regex-filter 等细节仍须 App 内帮助及真机编译／匹配确认。

检查范围与结果

所有真实 token、密码、UUID、节点主机、Host 映射及配置只保存在权限受限的私有临时目录。实际 HTTPS 四类订阅均成功下载、非空、结构正确，删除的规则均不再下发；Surge 的 self URL 正确。

检查	结果
本地生成器与生产产物	Clash、Shadowrocket 节点订阅、Shadowrocket conf 逐字节一致
节点	两端各 12 个，6 VMess＋6 Trojan，均 WS／TLS；无排除；分享 URI 的凭据及连接字段往返一致
安全／UDP 字段	Clash 12 个节点均 udp=true，未启用跳过证书校验；Shadowrocket 当前节点 skipCertVerify=false
组与引用	13 组，所有引用存在；地区动态组各 4 节点，两个独立全节点组各 12；Finance 美国、日本、新加坡、DIRECT，默认美国，无 All Nodes
Clash 正文	261 条规则、49 个 provider，唯一末尾 MATCH
Shadowrocket conf	257 条规则、46 个远程 RULE-SET，唯一末尾 FINAL；策略名裸写，无 Surge use= 引用
外部资源	95 个不同 URL 全部下载；Clash 资源 157,260 个条目；Shadowrocket 资源 24,000 个条目
官方 mihomo	v1.19.32 darwin arm64；官方发布 SHA256 核验后仅解压至临时目录。原订阅和 file-provider 快照配置均通过 -t
全部 Clash 资源子规则	展开为 157,472 条规则，补齐官方 Country／ASN 数据后，通过原生解析
隔离内核运行	49 个真实 file-provider 初始化，无错误；动态组与 Finance 默认值经 API 核对
原生路由	145/145 个受控 TCP／域名／IP 用例匹配预期策略链；额外 googlevideo UDP 用例原生匹配 AND→REJECT
Shadowrocket 静态路由	最后一次共 143 个域名样例；按域名／后缀／关键词／通配规则及资源展开核对。不是原生 Shadowrocket 引擎；不模拟 IP 解析、进程、协议或设备缓存
Surge 回归	官方 CLI、49/49 外部资源快照通过，静态域名遮蔽提示 0
现有移动端测试	2 个测试文件、8 项 Vitest 通过，包括新取得的 mihomo 原生解析用例

原生路由测试使用独立 localhost 入站与 controller，不开 TUN、不改系统代理；原规则顺序、provider 内容和策略组保持，但所有节点传输临时替换成本地 SOCKS 模拟端点，DNS 为受控主机映射。没有使用真实节点连接支付服务。该结果证明受控元数据下的内核规则／策略选择，不能证明真实节点可连接、地区出口稳定、真实解析出的 IP 路由或手机 VPN 接管。少数 DIRECT 域名使用受控本机地址，不能据此推断其真实公网 IP 的 GEOIP 路径。

明确的差异与缺口

1. Clash 跳过 2 条：PROTOCOL,STUN → REJECT 和 SMTP 文本 URL-REGEX → DIRECT。NETWORK TCP／UDP 无法代替应用协议 STUN，不能称全局 WebRTC 防护已通过。
2. Shadowrocket 跳过 6 条：STUN、googlevideo UDP AND、reject／download／cdn 三个 DOMAIN-SET、SMTP 文本 URL-REGEX。这是生成器的保守范围，不等于 App 不支持逻辑规则。其 googlevideo 域名静态路径是 Streaming，不能继承 Clash 的 UDP 拒绝结果。三个 DOMAIN-SET 缺失会改变部分广告、下载和 CDN 覆盖，即使相邻 RULE-SET 可能覆盖部分域名，也没有证明完全等价。
3. Shadowrocket 仍下发 RULE-SET,LAN,DIRECT 及 macOS 的 FFSB 进程例外。没有取得其在 iOS 的原生语法／匹配证据；macOS 进程规则不能用于证明 iOS 分流。远程资源还含 IP-ASN、USER-AGENT、PROCESS-NAME、URL-REGEX 等类型，资源下载成功与域名模型通过均不证明这些类型已由 iOS 正确编译。
4. Clash DNS 为国内 DoH＋fake-ip，没有 nameserver-policy／respect-rules 的 AI 随出口配置。Shadowrocket 的 General 使用国内普通 DNS，未继承 Surge 派生的 Cloudflare AI Host 映射。依据 mihomo DNS 官方说明，DNS 连接遵守路由需要相应配置及 proxy-server-nameserver。因此两端业务连接进入 AI 不代表 DNS 查询也随 AI 出口，不能沿用 Surge 的 Net.Coffee 无泄漏结论。
5. 两端 FINAL／MATCH 没有 Surge 的 dns-failed 语义；不同内核的 DNS 失败、预匹配、REJECT 变体与 UDP 行为不能由字符串相近认定等价。Finance 选择美国地区组，该组为 url-test，首项美国也不等于固定单一节点／出口 IP。
6. Shadowrocket 动态正则会从 App 中所有订阅收节点，All Nodes／AI Nodes 可能包含本服务之外的节点；此次 12 个成员只是本订阅的预期范围。手机已保存的组选择不一定因刷新订阅变回美国。

以上未通过修改生产设置、泛拦 UDP、加入全局 DNS 接管或擅自扩大生成器语法来掩盖；本次范围为删除指定规则与审计。

FlClash 的活动配置需另外核对

其官方配置合并源码会将 App 的 mode、TUN、监听端口及其他运行设置覆盖到原配置；DNS 覆盖或追加系统 DNS 开关也能改变解析。自定义新增规则可置顶，非空的规则覆盖列表可替换订阅 rules，代理与组覆盖可替换对应列表。脚本覆盖同样需检查。由此可见“订阅写 mode: rule”不足以证明手机正在按它分流。

真机收尾矩阵

先更新 Shadowrocket 的节点订阅和独立 conf，并选择使用该 conf；FlClash 更新并启用 Clash 订阅，确认运行在规则模式。记录 App／内核版本、活动配置、相关组保存选择、覆盖设置和 Android 分应用接管范围。以下请求通过手机浏览器或对应 App 发起，查看其连接／请求记录中的命中规则和完整策略链；不需要支付、转账或重新注册账号。

用例	预期策略／关注点
PayPal 主站与 paypalobjects.com	Finance；删除旧规则后命中 paypal 关键词
Plasma 官网、plasma-one.tech API／WS、auth.privy.io	Finance；核对 App 登录／会话的其他实际请求
Muse 主站／登录／Meta API	AI
Claude、ChatGPT、Gemini、ip.net.coffee 探测	AI；另检查 DNS 日志与实际探测结果
Telegram 域名及数据中心 IP	Proxy
Netflix、YouTube、Disney、TikTok、GoogleSearch	Streaming，受更早 AI／例外规则影响
Google 更新／翻译、App Store 例外	以规则命中及 DIRECT 最终路径确认，不凭页面成功推断
Bybit	独立 Bybit 组，未迁入 Finance
无已知规则的请求	FINAL／MATCH→NoAuto→Mainland→DIRECT
googlevideo TCP／UDP	FlClash TCP 通常 Streaming，UDP 应拒绝；Shadowrocket 当前不下发该 UDP 防护
IPv6、DNS／WebRTC、Wi-Fi／蜂窝切换	独立实测；不能用 IPv6 开关或 TCP 页面成功代替

没有接入用户的 iOS／Android 设备，本次未读取其活动配置、记录、VPN 权限或保存选择。完成上述原生设备核对后才能将“订阅与受控内核正常”提升为“这两台手机实际按预期分流”。