a5d980a5e9
实现独立加密设备身份、网关 agent、持久生命周期任务和 Surge/FlClash 专属订阅凭证。 完善 Shadowrocket 规则转换与 Clash AI DNS，增加 Surge FFSB 适配、规则快照、运维工具及验收文档。
4.3 KiB
FlClash 订阅兼容性审查
2026-11-02；核对目标为 FlClash v0.9.2 及其固定的 Mihomo fork c5062921054902b25215a6a933e72ccd714c9bfa。这次更改已部署 LA，尚未在 Android 设备上验收。原有 /clash URL 保留，界面显示名称改为 FlClash；Surge 名称不再附系统后缀。
| 原 ClashMeta 配置 | 审查与处理 |
|---|---|
| mixed-port、allow-lan、rule 模式、IPv6 与 fake-IP DNS | 沿用 Mihomo 配置结构；FlClash 的 VPN、DNS 和系统私有 DNS 等设备设置仍需真机验证。 |
| VMess、Trojan、Shadowsocks、Hysteria2 | 沿用现有序列化与能力过滤。SS WebSocket 插件只下发 TCP；无法表达的 VMess cipher 会排除而非静默改协议。语法通过不等于真实节点连接通过。 |
| select、url-test、fallback，显式成员和动态筛选 | 继续沿用；原有正则组对全部节点筛选，不等同于 Surge 的受引用组约束的动态来源。新增设备 WG 时，动态公网组增加 exclude-filter，避免把私网隧道当公网节点。固定内核的 adapter/outboundgroup/parser.go 和 groupbase.go 已确认该字段及筛选处理。 |
| 规则及远程 rule-provider | 保留顺序、no-resolve 与 FINAL→MATCH。TCP/UDP PROTOCOL 转 NETWORK；不能完整表达的逻辑规则和应用协议等仍跳过，不能视为所有 Surge 规则都能等价转换。规则集需实际网络可访问。 |
| AI DNS | 沿用既有 nameserver-policy、规则集和按 AI 策略组选择的 DoH；没有开启全局 respect-rules。系统 DNS、泄漏及出口仍需按设备和应用验证。 |
| WireGuard | 新增可选设备专属出站。使用完整 peers 格式限定 allowed-ips 为 njcq 私网；私网 IP-CIDR 规则排在最前，WG 不进入动态公网代理组。仅保证生成和用途鉴权，设备连接及入站不由解析测试证明。 |
不选设备时订阅 URL 和内容保持原来的纯代理配置。选设备后生成 /clash?wg=… 派生链接；凭证随机、可单独撤销，并校验订阅、设备和 clash 用途。Surge 凭证和 FlClash 凭证不能跨格式使用。切换或清除选择不会撤销已生成的其他链接；设备暂停时派生链接不可使用。不要让 Android 与正在运行的 Mac/iPad 同时复用同一设备身份，应为 Android 建立独立设备和网关 peer。
该配置支持的目标是 Android 主动访问 njcq 私网；固定内核没有确认 Surge allow-peer-access 等价的 Android 本机服务入站桥接。WG 握手不代表反向入站或 Apple VNC 媒体可用，详见 WG 与入站能力研究。Android VPN 权限及网络切换、真实私网 TCP/UDP、反向连接、VNC、业务 DNS 和公网出口仍需单独验收；不要把本机测试的占位身份用于生产。
参考：Mihomo WireGuard 配置、FlClash v0.9.2 固定内核 WG 实现、固定内核组解析。
本地验证：Node 22 下 pnpm -r typecheck、pnpm test（96 项）及 Web 构建通过；其中含设备 WG 的完整示例使用官方 Mihomo v1.19.33 macOS 原生解析器通过校验，该二进制经官方 release SHA-256 核对，但它不是 FlClash 固定 fork 或 Android 客户端。隔离数据的浏览器交互验证了格式切换、设备选择和清除、两种凭证互不干扰以及 320–1024 像素布局；未连接真实网关或设备。
生产验证：LA 前后端部署成功，公网 HTTPS 的默认 Surge、Clash、Shadowrocket 节点及规则配置均与部署前逐字一致，唯一订阅及节点/组/规则/settings 保持不变。使用两台既有设备临时签发 Clash 凭证，核对身份隔离、跨用途拒绝及撤销后 404；两份实际 HTTPS 设备配置和默认配置均通过 Mihomo v1.19.33 解析，临时凭证已撤销。实际 Surge 及 49/49 规则集快照通过官方 CLI，13 条静态域名遮蔽提示与部署前一致。生产数据库在线备份为 la:/opt/proxy-station/data/backups/before-flclash-deploy-validation-20261102-153706.db（root/600）。