@
CRH 结论：**不建议在主力手机上使用**。我会把它归类为“宣传和实际实现不一致、且移动端权限风险偏高”的项目。
我看到的主要问题：
1. [GitHub 仓库](
https://github.com/loc567/loc567) 实际代码基本是 `libimobiledevice` 这类桌面端 iOS 通信/调试工具，不是 README 宣称的“纯网页端 iOS 模拟定位工具”。仓库里没有网页前端、后端、VPN 配置生成等核心代码。
2. README 说“无需安装描述文件、不上传云端”，但我检查 [
loc567.com](
https://loc567.com) 当前加载的前端 bundle ，里面实际有注册账号、下载 `vpn.mobileconfig`、安装描述文件、信任 `
loc567.com Root CA`、连接 VPN 的流程，并会把锁定坐标 POST 到 `
https://api.loc567.com/map/lock`。
3. “信任 Root CA + 安装 VPN 配置”对手机是高敏操作。Apple 官方文档也说明，手动安装的根证书需要你显式开启 SSL/TLS 完全信任；配置描述文件可以写入 VPN 等设备设置：[Apple 证书信任说明](
https://support.apple.com/en-us/102390)、[配置描述文件说明](
https://support.apple.com/guide/iphone/install-or-remove-configuration-profiles-iph6c493b19/ios)。4. Web Geolocation API 本身是让网页读取位置，不是修改系统定位。MDN/W3C 也把它定义为向网页提供设备位置的 API：[MDN Geolocation API](
https://developer.mozilla.org/en-US/docs/Web/API/Geolocation_API)、[W3C Geolocation](
https://www.w3.org/TR/geolocation/)。所以如果它真能改系统定位，关键逻辑很可能在 VPN/证书/服务端层，而这部分没有开源，没法审计。
我的建议：**别在有个人账号、支付、聊天、工作资料的手机上装它的描述文件或信任 Root CA**。如果只是合法开发测试，最多用备用机、临时邮箱/独立密码、无敏感账号环境，并用完立刻删除 VPN/描述文件/证书。已经装过的话，去“设置 → 通用 → VPN 与设备管理”删除对应描述文件，并检查“关于本机 → 证书信任设置”。