proxy-station/docs/CURRENT-STATE.md

# 当前生产状态与接续入口

2026-11-02 后续客户端验收：用户确认 macOS/iPadOS/iOS 的 Surge + WireGuard 已全面实测可工作。已据此在本地清理 Shadowrocket 的 WG 下发兼容（普通代理能力保留），但本轮尚未重新部署；不将旧 Apple VNC 排查当作待继续实现的方向。详情见 [WireGuard 实现记录](WIREGUARD-DEVICES.md)。

2026-11-02 后续订阅收拢：按用户“只保留一个”要求，生产仅保留原 `Proxy Station` 主订阅（原 token、URL 与节点范围不变），已通过管理 API 删除 `NJCQ WireGuard - iPad Pro` 和 `NJCQ WireGuard - Mac Studio` 两条旧订阅，旧 URL 返回 404。两台独立 WG 设备、固定 IP、密钥、标准导出和网关 peer 均保留，统一在主订阅的 Surge 设备下拉中附加；不要恢复两条旧订阅卡片。修改前在线备份及主密钥备份见 [实现记录](WIREGUARD-DEVICES.md#2026-11-02-单一主订阅收拢)。以下同日部署时的 3 订阅为收拢前历史数量。

2026-11-02 最新：WireGuard 设备管理和 Surge 可选设备订阅已部署 LA，njcq agent 已接入并只读确认原 iPad `.2`、Mac `.3`。旧身份迁入加密独立设备实体，保留旧 URL；普通共享 URL 仍无 WG，派生 URL 含订阅/设备绑定的可撤销凭证。部署前后 API 核对为 30 节点（12 启用）、14 组、277 规则、3 订阅，节点/组/规则/settings 未变；njcq 持久配置及既有 peer 身份/地址不变，无演示设备。本机活动 Surge 未切换，三端新导入/入站/实际暂停和媒体等仍待验收。备份和验证详见 [实现与生产记录](WIREGUARD-DEVICES.md)。下方 2026-10-04 表格和旧 token 模型均为历史基线。

2026-11-01 新增 njcq WireGuard 私网与两份设备专用订阅；原共享订阅、代理节点、组和规则不变。每台设备独立身份，Mac Surge 入站要求 6.11+。 iPad 原生 WireGuard → njcq → Mac Surge 6.11 的 Apple VNC 已由用户确认流畅；Shadowrocket 同机组网路径的普通 VNC 可用，高性能 Apple VNC 未通过。见 [WireGuard 组网记录](WIREGUARD-LAN.md)。下文历史数量不包含新增设备订阅。

2026-10-13 移动端生成器修复已全部部署，实际 HTTPS 验收见 [修复记录](MOBILE-CLIENT-FIX-2026-10-13.md)。

2026-10-13 最新：已删除旧手动 paypal.com 规则，主站仍由 Finance 的 paypal 关键词覆盖。随后按用户连接记录补充 metaaivm.com → AI；最新为 13 个组、25 个显式成员、266 条规则（264 启用），Finance 86 条；Clash／Shadowrocket 全面检查见 [移动端校验](MOBILE-CLIENT-AUDIT-2026-10-13.md)。下面同日 Finance 新增阶段的计数是历史快照，当前 266 条包含后来补充的 metaaivm.com。

2026-10-13 Finance 更新：新增 `💰 Finance` 手动组，成员依次为美国、日本、新加坡、DIRECT，默认美国、不包含 All Nodes。Plasma One 与 PayPal 规则已归入该组，见 [Finance 记录](FINANCE-RULES.md)。本次变更后为 13 个组、25 个显式成员、266 条规则（264 启用）；下文历史组列表与数量不代表更新后状态。

2026-10-13 更早的定向更新：已补充 Meta Muse 四条 AI 域名规则，当时 API 为 180 条规则（178 启用），见 [Meta Muse 记录](META-MUSE-RULES.md)。下文 2026-10-04 的规则数量与产物表为历史盘点，不代表此次更新后的数量；维护前仍需 API 重读。

核对日期：2026-10-04（UTC+8；管理 API 盘点时间 11:46）。来源为 LA 管理 API 与四类实际 HTTPS 订阅；本次仅更新文档，未执行部署或生产业务数据变更。完整响应、token、凭据与配置仅保存在权限受限的本机临时目录。

本文件集中维护最新生产盘点；日期化体检与变更报告保留各阶段证据。后续任务先重读 API，再更新这里，不能把模板、历史数量或本机模块当作生产现状。项目协作约定见 [AGENTS.md](../AGENTS.md)，技能入口见 [双工具协作](AI-COLLABORATION.md)。

## 节点与订阅范围

| 站点 | 登记节点 | 启用 | 停用 | 当前启用协议 |
|---|---:|---:|---:|---|
| JP（日本） | 8 | 4 | 4 | VMess／Trojan × Direct／Warp |
| SG（新加坡） | 8 | 4 | 4 | VMess／Trojan × Direct／Warp |
| LA（美国） | 6 | 4 | 2 | VMess／Trojan × Direct／Warp |
| RN（美国） | 8 | 0 | 8 | 无 |
| 合计 | 30 | 12 | 18 | VMess 6、Trojan 6，均为 WS |

全部 8 个 SS、6 个 HY2 以及 RN 的 4 个 VMess／Trojan 当前停用。停用是应用数据库状态，不代表 VPS 或远端线路已经移除／故障；不因整理文档、部署代码或重新生成交付页而启用。边缘舰队仍为 SG／LA／RN／JP，部署资料与 IPv4-only 约束见 [节点工作区](../edge-nodes/README.md)及 [IPv4 约定](EDGE-IPV4-ONLY.md)。舰队交付线路数与本应用登记／启用数不是同一指标。

现有 1 个启用订阅，nodeIds 为空数组，即下发全部启用且客户端支持的节点；没有公开默认 token。Surge、Clash、Shadowrocket 节点订阅当前均输出 12 个节点；这不是客户端只能支持这两种协议的断言。将来启用 SS／HY2 后仍须按 [客户端能力矩阵](../shared/src/protocols.ts)重新核对过滤与连接。

所有节点 sortOrder 现为默认 0。[IR](../server/src/services/ir.ts)按 sortOrder、name 升序读取，当前完整名称顺序为日本 → 新加坡 → 美国，同地区内 Trojan → VMess，同协议 Direct → Warp。新增节点保持默认权重即可按名称自然插入；非零权重会改变该全局来源的排序。Web 节点页另按站点、协议与出口展示。

## 策略组：显示顺序与有序成员

12 个组全部启用，共 21 个显式成员。下表顺序就是数据库 sortOrder，也是生成配置的组显示顺序。

| 顺序 | 名称 | 类型 | 成员／动态节点来源 |
|---:|---|---|---|
| 1 | 🚀 Proxy | select | Automatic、All Nodes、新加坡、美国、日本 |
| 2 | ⚡️ Automatic | url-test | 新加坡、美国、日本 |
| 3 | 📋 All Nodes | select | includeAllNodes，全部可用节点 |
| 4 | 🇺🇸 United States | url-test | includeAllNodes＋美国名称正则 |
| 5 | 🇸🇬 Singapore | url-test | includeAllNodes＋新加坡名称正则 |
| 6 | 🇯🇵 Japan | url-test | includeAllNodes＋日本名称正则 |
| 7 | 🤖 AI | select | 美国、新加坡、日本、🧠 AI Nodes |
| 8 | 🧠 AI Nodes | select | includeAllNodes，全部可用节点 |
| 9 | 🎬 Streaming | select | 新加坡、美国、日本 |
| 10 | 🪙 Bybit | select | DIRECT、新加坡、美国、日本 |
| 11 | 🇨🇳 Mainland | select | DIRECT |
| 12 | 🎯 NoAuto | select | Mainland |

- 普通代理规则指向 Proxy，只有 Proxy 包含 Automatic；没有直接指向 Automatic 的规则。
- AI 不引用 Automatic。All Nodes 与 AI Nodes 使用独立组身份保存节点选择；两组无正则、无显式成员，节点来源与名称升序列表相同。AI Nodes 紧接 AI，不能通过引用 All Nodes 来实现独立选择。
- Automatic 和三个地区组的数据库类型均为 url-test，interval=300、tolerance=50。组 testUrl 为 `http://cp.cloudflare.com/generate_204`，仅 Clash／Shadowrocket 使用；Surge 使用 General／节点测速地址。客户端自身模块可能覆盖组类型或参数。
- select 在没有有效保存选择时使用首个成员；名称排序和改名可能影响这个默认值。已保存的实际选择需在授权的客户端更新任务中保留。
- FINAL → NoAuto → Mainland → DIRECT。Bybit 的首个候选同为 DIRECT，实际使用仍由客户端保存的选择决定。

Apple、Global Services、Speedtest、Other，以及香港／台湾／韩国／英国地区组当前不存在。App Store DIRECT、Apple News 美国、Apple Relay AI 例外保留。原初始化模板还有历史组，修改模板或 reset 规则不能代替定向更新生产数据。

## 规则与服务归属

数据库有 130 条规则：128 启用、2 停用；登记 62 个规则集，实际配置引用 49 个不同远程 URL。唯一启用 FINAL 位于末尾，保留 dns-failed。

连接规则按首条匹配，当前顺序为：

1. STUN REJECT，以及 googlevideo.com 的 UDP REJECT-NO-DROP。
2. Unbreak DIRECT，保留已授权的 Google 更新／翻译直连例外。
3. 31 条启用的 AI 规则集中排列，包含原 AI 集、精确补充域名、Anthropic IP 兜底及 `ip.net.coffee` 后缀。
4. 业务例外、广告／隐私规则及其余服务、地区、国内、CDN、global 分流。
5. FINAL → NoAuto。

两条停用规则为全局 `PROTOCOL,DOH → AI` 和 `DOMAIN-KEYWORD,diabrowser.engineering → AI`；Dia 的 DOMAIN-SUFFIX 规则仍启用。普通代理入口统一到 Proxy；x.com／bing.com 的已验证路径是 global → Proxy，Bing 专用 AI RULE-SET 已删除。具体域名仍受更早规则及动态外部规则集影响，后续变更须重审遮蔽。

直接指向 Streaming 的启用 RULE-SET 共 13 条；相关服务的地区分流与 Emby 归属一并列在下表：

| 来源 | 策略 |
|---|---|
| Disney、Netflix、TikTok、YouTube、GoogleSearch | 🎬 Streaming，各 1 条 |
| stream_eu、stream_kr、stream_hk、stream_tw | 🎬 Streaming，各域名／IP 两条 |
| stream_us | 🇺🇸 United States，域名／IP 两条 |
| stream_jp | 🇯🇵 Japan，域名／IP 两条 |
| Emby | 🚀 Proxy，1 条 |

该表表示规则指定策略，不保证某服务的所有请求都走该组；例如先匹配 AI 的 Google API 请求或被协议防护拦截的请求仍执行先前规则。

## DNS、客户端差异与验收范围

Surge AI DNS 从启用 AI 域名规则派生 Host 到 `https://1.1.1.1/dns-query`，并生成 DoH 跟随出口开关与 1.1.1.1/32 → AI 规则。手写 Host、Unbreak 和默认国内 DNS 例外继续保持顺序。数据库 General 中原始开关为 false，生成配置派生为 true；原文设置与最终产物须分别核对。没有启用全局 DOH／全端口 53 AI 接管，边缘 IPv4-only 约束继续保留。

Net.Coffee 的 Claude 页通过随机 `*.d.ip.net.coffee` 记录递归解析器，使用 `DOMAIN-SUFFIX,ip.net.coffee → AI` 覆盖页面及子域。前面 Session 的本机 Chrome＋Surge 实测已从中国电信「可能泄露」变为美国 Cloudflare「未检测到泄露」；`dns trace` 确认 Cloudflare DoH。此结果限于该探测路径，不代表其他设备、域名或远端代理解析器已验收。

| 实际 HTTPS 产物 | 节点 | 组 | 规则 | 说明 |
|---|---:|---:|---:|---|
| Surge | 12 | 12 | 131 | 128 条启用数据库规则＋3 条派生 DNS 出口规则 |
| Clash | 12 | 12 | 126 | 49 个 provider；跳过 STUN 与 SMTP 文本 URL-REGEX |
| Shadowrocket 节点订阅 | 12 | — | — | 完整名称升序的 base64 URI 列表 |
| Shadowrocket conf | — | 12 | 122 | 保守跳过 6 条：STUN、googlevideo AND、reject／download／cdn DOMAIN-SET、SMTP 文本 URL-REGEX |

HTTP 订阅只有正文，没有 excluded／skippedRules 字段；总节点数与实际节点数不同，要区分停用、token 范围与客户端过滤。Shadowrocket 的全节点正则会收纳 App 内其他订阅，App 排序和其他节点不由本服务控制。

前面 Session 最近一次验证已通过 Surge 官方 CLI、49/49 规则集快照及 Clash `mihomo -t`，静态域名遮蔽提示为 0；本机 Surge 已验证新组名、两个列表的名称顺序和独立选择，改名后保留原节点及 AI 路径。本轮仅重读最新数据／产物并验证文档一致性，没有重复进行网络泄漏测试。iOS／Android 真机编译、节点连接、UDP、完整业务与隐私验收仍有未完成项。

## Session 变更记录与接续

| 主题 | 记录 | 后续维护要点 |
|---|---|---|
| Surge 体检与防护修复 | [体检](SURGE-AUDIT-2026-10-03.md)、[修复](SURGE-FIX-2026-10-03.md) | 保留 API 校验、FINAL、引用图、配置编码及 Host 顺序防护 |
| 移动端生成器体检与已授权后端部署 | [移动端体检](MOBILE-CLIENT-AUDIT-2026-10-04.md) | 能力矩阵与生成器范围独立检查，保留手机真机待验项 |
| AI 精确补充与删除 Apple／Global／Bing 专用分流 | [AI 规则审阅](AI-RULE-REVIEW-2026-10-04.md) | 精确补充主机；历史阶段保留 Automatic 的记录已被后续 Proxy 入口调整覆盖 |
| Proxy 统一普通代理入口、Automatic 测速 | [选择链](PROXY-AUTOMATIC-2026-10-04.md) | Proxy 为唯一 Automatic 父组，AI／NoAuto 独立 |
| 删除 Speedtest、AI 优先于广告 | [AI 优先级](AI-PRIORITY-2026-10-04.md) | 该阶段为 11 组／129 规则，后续新增项以本文件为准 |
| Net.Coffee 探测域名与 DNS 复测 | [DNS 复测](NET-COFFEE-DNS-2026-10-04.md) | 覆盖随机子域，区分网站探测与 Claude 实际域名 |
| 独立 AI Nodes、emoji 与名称排序 | [AI Nodes](AI-NODES-2026-10-04.md) | 独立 select、同节点来源、默认零权重、保留客户端选择 |

备份文件名与原阶段验收保留在各专题记录中，不清理远端备份。新增业务约束更新 AGENTS.md；当前盘点更新本文件；操作方法更新对应专题。代码部署、生产数据更新和设备配置更新分别核对授权，纯文档整理不触发这些动作。


## 2026-10-19 Claude / FFSB 分离

生产新增独立 `🦀 Claude` select 组，FFSB 25 项与原 Claude 规则去重合并为21条业务规则，另有1条独立 DNS 传输规则；原 AI 保留其他服务。此时14组、277规则，维护仍须 API 重读。清理旧 FFSB 三条服务器 IP /32 和宽泛 App 直连，保留真实服务进程及控制域名引导。仅本机另有 `Claude` 自动入口及协调任务，关闭 FFSB 回退、重新连接恢复已实测，启动顺序未获本轮重启许可。详见 [实施及验收](FFSB-SURGE-IMPLEMENTATION-2026-10-19.md)。

## 2026-10-19 后续：FFSB 手动选择

早先本机自动协调层已退役。正式 `Proxy Station` 订阅的 `🦀 Claude` 新增 `🦁 FFSB`；25 项精确范围可手动选择，集合外 Claude 走隐藏策略 → AI Nodes。生产 settings 增加 FFSB 适配参数，数据库组/规则数量不变，其他客户端生成保持原行为。本机仅保留原托管配置，停用 LaunchAgent，FFSB 关闭系统 DNS 接管以便 Surge fake-IP 控制入口。实施、验证及设备前提见 [最新记录](FFSB-MANUAL-SUBSCRIPTION-2026-10-19.md)。