a5d980a5e9
实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。 完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。
14 KiB
当前生产状态与接续入口
2026-11-02 后续客户端验收：用户确认 macOS/iPadOS/iOS 的 Surge + WireGuard 已全面实测可工作。已据此在本地清理 Shadowrocket 的 WG 下发兼容（普通代理能力保留），但本轮尚未重新部署；不将旧 Apple VNC 排查当作待继续实现的方向。详情见 WireGuard 实现记录。
2026-11-02 后续订阅收拢：按用户“只保留一个”要求，生产仅保留原 Proxy Station 主订阅（原 token、URL 与节点范围不变），已通过管理 API 删除 NJCQ WireGuard - iPad Pro 和 NJCQ WireGuard - Mac Studio 两条旧订阅，旧 URL 返回 404。两台独立 WG 设备、固定 IP、密钥、标准导出和网关 peer 均保留，统一在主订阅的 Surge 设备下拉中附加；不要恢复两条旧订阅卡片。修改前在线备份及主密钥备份见 实现记录。以下同日部署时的 3 订阅为收拢前历史数量。
2026-11-02 最新：WireGuard 设备管理和 Surge 可选设备订阅已部署 LA，njcq agent 已接入并只读确认原 iPad .2、Mac .3。旧身份迁入加密独立设备实体，保留旧 URL；普通共享 URL 仍无 WG，派生 URL 含订阅/设备绑定的可撤销凭证。部署前后 API 核对为 30 节点（12 启用）、14 组、277 规则、3 订阅，节点/组/规则/settings 未变；njcq 持久配置及既有 peer 身份/地址不变，无演示设备。本机活动 Surge 未切换，三端新导入/入站/实际暂停和媒体等仍待验收。备份和验证详见 实现与生产记录。下方 2026-10-04 表格和旧 token 模型均为历史基线。
2026-11-01 新增 njcq WireGuard 私网与两份设备专用订阅；原共享订阅、代理节点、组和规则不变。每台设备独立身份，Mac Surge 入站要求 6.11+。 iPad 原生 WireGuard → njcq → Mac Surge 6.11 的 Apple VNC 已由用户确认流畅；Shadowrocket 同机组网路径的普通 VNC 可用，高性能 Apple VNC 未通过。见 WireGuard 组网记录。下文历史数量不包含新增设备订阅。
2026-10-13 移动端生成器修复已全部部署，实际 HTTPS 验收见 修复记录。
2026-10-13 最新：已删除旧手动 paypal.com 规则，主站仍由 Finance 的 paypal 关键词覆盖。随后按用户连接记录补充 metaaivm.com → AI；最新为 13 个组、25 个显式成员、266 条规则（264 启用），Finance 86 条；Clash／Shadowrocket 全面检查见 移动端校验。下面同日 Finance 新增阶段的计数是历史快照，当前 266 条包含后来补充的 metaaivm.com。
2026-10-13 Finance 更新：新增 💰 Finance 手动组，成员依次为美国、日本、新加坡、DIRECT，默认美国、不包含 All Nodes。Plasma One 与 PayPal 规则已归入该组，见 Finance 记录。本次变更后为 13 个组、25 个显式成员、266 条规则（264 启用）；下文历史组列表与数量不代表更新后状态。
2026-10-13 更早的定向更新：已补充 Meta Muse 四条 AI 域名规则，当时 API 为 180 条规则（178 启用），见 Meta Muse 记录。下文 2026-10-04 的规则数量与产物表为历史盘点，不代表此次更新后的数量；维护前仍需 API 重读。
核对日期：2026-10-04（UTC+8；管理 API 盘点时间 11:46）。来源为 LA 管理 API 与四类实际 HTTPS 订阅；本次仅更新文档，未执行部署或生产业务数据变更。完整响应、token、凭据与配置仅保存在权限受限的本机临时目录。
本文件集中维护最新生产盘点；日期化体检与变更报告保留各阶段证据。后续任务先重读 API，再更新这里，不能把模板、历史数量或本机模块当作生产现状。项目协作约定见 AGENTS.md，技能入口见 双工具协作。
节点与订阅范围
| 站点 | 登记节点 | 启用 | 停用 | 当前启用协议 |
|---|---|---|---|---|
| JP（日本） | 8 | 4 | 4 | VMess／Trojan × Direct／Warp |
| SG（新加坡） | 8 | 4 | 4 | VMess／Trojan × Direct／Warp |
| LA（美国） | 6 | 4 | 2 | VMess／Trojan × Direct／Warp |
| RN（美国） | 8 | 0 | 8 | 无 |
| 合计 | 30 | 12 | 18 | VMess 6、Trojan 6，均为 WS |
全部 8 个 SS、6 个 HY2 以及 RN 的 4 个 VMess／Trojan 当前停用。停用是应用数据库状态，不代表 VPS 或远端线路已经移除／故障；不因整理文档、部署代码或重新生成交付页而启用。边缘舰队仍为 SG／LA／RN／JP，部署资料与 IPv4-only 约束见 节点工作区及 IPv4 约定。舰队交付线路数与本应用登记／启用数不是同一指标。
现有 1 个启用订阅，nodeIds 为空数组，即下发全部启用且客户端支持的节点；没有公开默认 token。Surge、Clash、Shadowrocket 节点订阅当前均输出 12 个节点；这不是客户端只能支持这两种协议的断言。将来启用 SS／HY2 后仍须按 客户端能力矩阵重新核对过滤与连接。
所有节点 sortOrder 现为默认 0。IR按 sortOrder、name 升序读取，当前完整名称顺序为日本 → 新加坡 → 美国，同地区内 Trojan → VMess，同协议 Direct → Warp。新增节点保持默认权重即可按名称自然插入；非零权重会改变该全局来源的排序。Web 节点页另按站点、协议与出口展示。
策略组：显示顺序与有序成员
12 个组全部启用，共 21 个显式成员。下表顺序就是数据库 sortOrder，也是生成配置的组显示顺序。
| 顺序 | 名称 | 类型 | 成员／动态节点来源 |
|---|---|---|---|
| 1 | 🚀 Proxy | select | Automatic、All Nodes、新加坡、美国、日本 |
| 2 | ⚡️ Automatic | url-test | 新加坡、美国、日本 |
| 3 | 📋 All Nodes | select | includeAllNodes，全部可用节点 |
| 4 | 🇺🇸 United States | url-test | includeAllNodes＋美国名称正则 |
| 5 | 🇸🇬 Singapore | url-test | includeAllNodes＋新加坡名称正则 |
| 6 | 🇯🇵 Japan | url-test | includeAllNodes＋日本名称正则 |
| 7 | 🤖 AI | select | 美国、新加坡、日本、🧠 AI Nodes |
| 8 | 🧠 AI Nodes | select | includeAllNodes，全部可用节点 |
| 9 | 🎬 Streaming | select | 新加坡、美国、日本 |
| 10 | 🪙 Bybit | select | DIRECT、新加坡、美国、日本 |
| 11 | 🇨🇳 Mainland | select | DIRECT |
| 12 | 🎯 NoAuto | select | Mainland |
- 普通代理规则指向 Proxy，只有 Proxy 包含 Automatic；没有直接指向 Automatic 的规则。
- AI 不引用 Automatic。All Nodes 与 AI Nodes 使用独立组身份保存节点选择；两组无正则、无显式成员，节点来源与名称升序列表相同。AI Nodes 紧接 AI，不能通过引用 All Nodes 来实现独立选择。
- Automatic 和三个地区组的数据库类型均为 url-test，interval=300、tolerance=50。组 testUrl 为
http://cp.cloudflare.com/generate_204，仅 Clash／Shadowrocket 使用；Surge 使用 General／节点测速地址。客户端自身模块可能覆盖组类型或参数。 - select 在没有有效保存选择时使用首个成员；名称排序和改名可能影响这个默认值。已保存的实际选择需在授权的客户端更新任务中保留。
- FINAL → NoAuto → Mainland → DIRECT。Bybit 的首个候选同为 DIRECT，实际使用仍由客户端保存的选择决定。
Apple、Global Services、Speedtest、Other，以及香港／台湾／韩国／英国地区组当前不存在。App Store DIRECT、Apple News 美国、Apple Relay AI 例外保留。原初始化模板还有历史组，修改模板或 reset 规则不能代替定向更新生产数据。
规则与服务归属
数据库有 130 条规则：128 启用、2 停用；登记 62 个规则集，实际配置引用 49 个不同远程 URL。唯一启用 FINAL 位于末尾，保留 dns-failed。
连接规则按首条匹配，当前顺序为：
- STUN REJECT，以及 googlevideo.com 的 UDP REJECT-NO-DROP。
- Unbreak DIRECT，保留已授权的 Google 更新／翻译直连例外。
- 31 条启用的 AI 规则集中排列，包含原 AI 集、精确补充域名、Anthropic IP 兜底及
ip.net.coffee后缀。 - 业务例外、广告／隐私规则及其余服务、地区、国内、CDN、global 分流。
- FINAL → NoAuto。
两条停用规则为全局 PROTOCOL,DOH → AI 和 DOMAIN-KEYWORD,diabrowser.engineering → AI；Dia 的 DOMAIN-SUFFIX 规则仍启用。普通代理入口统一到 Proxy；x.com／bing.com 的已验证路径是 global → Proxy，Bing 专用 AI RULE-SET 已删除。具体域名仍受更早规则及动态外部规则集影响，后续变更须重审遮蔽。
直接指向 Streaming 的启用 RULE-SET 共 13 条；相关服务的地区分流与 Emby 归属一并列在下表：
| 来源 | 策略 |
|---|---|
| Disney、Netflix、TikTok、YouTube、GoogleSearch | 🎬 Streaming，各 1 条 |
| stream_eu、stream_kr、stream_hk、stream_tw | 🎬 Streaming，各域名／IP 两条 |
| stream_us | 🇺🇸 United States，域名／IP 两条 |
| stream_jp | 🇯🇵 Japan，域名／IP 两条 |
| Emby | 🚀 Proxy，1 条 |
该表表示规则指定策略，不保证某服务的所有请求都走该组；例如先匹配 AI 的 Google API 请求或被协议防护拦截的请求仍执行先前规则。
DNS、客户端差异与验收范围
Surge AI DNS 从启用 AI 域名规则派生 Host 到 https://1.1.1.1/dns-query，并生成 DoH 跟随出口开关与 1.1.1.1/32 → AI 规则。手写 Host、Unbreak 和默认国内 DNS 例外继续保持顺序。数据库 General 中原始开关为 false，生成配置派生为 true；原文设置与最终产物须分别核对。没有启用全局 DOH／全端口 53 AI 接管，边缘 IPv4-only 约束继续保留。
Net.Coffee 的 Claude 页通过随机 *.d.ip.net.coffee 记录递归解析器，使用 DOMAIN-SUFFIX,ip.net.coffee → AI 覆盖页面及子域。前面 Session 的本机 Chrome＋Surge 实测已从中国电信「可能泄露」变为美国 Cloudflare「未检测到泄露」；dns trace 确认 Cloudflare DoH。此结果限于该探测路径，不代表其他设备、域名或远端代理解析器已验收。
| 实际 HTTPS 产物 | 节点 | 组 | 规则 | 说明 |
|---|---|---|---|---|
| Surge | 12 | 12 | 131 | 128 条启用数据库规则＋3 条派生 DNS 出口规则 |
| Clash | 12 | 12 | 126 | 49 个 provider；跳过 STUN 与 SMTP 文本 URL-REGEX |
| Shadowrocket 节点订阅 | 12 | — | — | 完整名称升序的 base64 URI 列表 |
| Shadowrocket conf | — | 12 | 122 | 保守跳过 6 条：STUN、googlevideo AND、reject／download／cdn DOMAIN-SET、SMTP 文本 URL-REGEX |
HTTP 订阅只有正文，没有 excluded／skippedRules 字段；总节点数与实际节点数不同，要区分停用、token 范围与客户端过滤。Shadowrocket 的全节点正则会收纳 App 内其他订阅，App 排序和其他节点不由本服务控制。
前面 Session 最近一次验证已通过 Surge 官方 CLI、49/49 规则集快照及 Clash mihomo -t，静态域名遮蔽提示为 0；本机 Surge 已验证新组名、两个列表的名称顺序和独立选择，改名后保留原节点及 AI 路径。本轮仅重读最新数据／产物并验证文档一致性，没有重复进行网络泄漏测试。iOS／Android 真机编译、节点连接、UDP、完整业务与隐私验收仍有未完成项。
Session 变更记录与接续
| 主题 | 记录 | 后续维护要点 |
|---|---|---|
| Surge 体检与防护修复 | 体检、修复 | 保留 API 校验、FINAL、引用图、配置编码及 Host 顺序防护 |
| 移动端生成器体检与已授权后端部署 | 移动端体检 | 能力矩阵与生成器范围独立检查，保留手机真机待验项 |
| AI 精确补充与删除 Apple／Global／Bing 专用分流 | AI 规则审阅 | 精确补充主机；历史阶段保留 Automatic 的记录已被后续 Proxy 入口调整覆盖 |
| Proxy 统一普通代理入口、Automatic 测速 | 选择链 | Proxy 为唯一 Automatic 父组，AI／NoAuto 独立 |
| 删除 Speedtest、AI 优先于广告 | AI 优先级 | 该阶段为 11 组／129 规则，后续新增项以本文件为准 |
| Net.Coffee 探测域名与 DNS 复测 | DNS 复测 | 覆盖随机子域，区分网站探测与 Claude 实际域名 |
| 独立 AI Nodes、emoji 与名称排序 | AI Nodes | 独立 select、同节点来源、默认零权重、保留客户端选择 |
备份文件名与原阶段验收保留在各专题记录中，不清理远端备份。新增业务约束更新 AGENTS.md；当前盘点更新本文件；操作方法更新对应专题。代码部署、生产数据更新和设备配置更新分别核对授权，纯文档整理不触发这些动作。
2026-10-19 Claude / FFSB 分离
生产新增独立 🦀 Claude select 组，FFSB 25 项与原 Claude 规则去重合并为21条业务规则，另有1条独立 DNS 传输规则；原 AI 保留其他服务。此时14组、277规则，维护仍须 API 重读。清理旧 FFSB 三条服务器 IP /32 和宽泛 App 直连，保留真实服务进程及控制域名引导。仅本机另有 Claude 自动入口及协调任务，关闭 FFSB 回退、重新连接恢复已实测，启动顺序未获本轮重启许可。详见 实施及验收。
2026-10-19 后续：FFSB 手动选择
早先本机自动协调层已退役。正式 Proxy Station 订阅的 🦀 Claude 新增 🦁 FFSB；25 项精确范围可手动选择，集合外 Claude 走隐藏策略 → AI Nodes。生产 settings 增加 FFSB 适配参数，数据库组/规则数量不变，其他客户端生成保持原行为。本机仅保留原托管配置，停用 LaunchAgent，FFSB 关闭系统 DNS 接管以便 Surge fake-IP 控制入口。实施、验证及设备前提见 最新记录。