这篇文章探讨了代理软件（如 Loon 、Surge 、Quantumult X 、Clash 等）中 **MITM （ HTTPS 解密）加密插件**带来的安全与信任风险，核心结论是：**看不见的代码，绝不能给它看你的明文流量。**
**文章核心总结**
* **最高权限与零透明度的矛盾：** 开启 HTTPS 解密并安装根证书后，MITM 插件中的脚本可以直接读取你的明文流量（含密码、Cookie 、Token ）、篡改网页响应，甚至利用内置 API 悄悄将数据外发。
* **加密插件（如 `.lpxe`）防君子不防小人：** 客户端本地必然存有解密逻辑，插件加密挡不住有逆向能力的人，却彻底剥夺了普通用户审查代码、排查恶意逻辑（尤其是特定条件下才触发的代码）以及跨软件迁移的权利。
* **自动更新放大供应链风险：** 一旦插件加密且支持远程自动更新，每次更新都相当于在完全盲盒的状态下重新授予最高网络权限，抓包也难以捕捉条件触发的偷跑流量。
**你该如何防范**
1. **拒绝加密 MITM 插件：** 绝不给任何加密、混淆或看不见源码的插件授予 HTTPS 解密权限。
2. **按需开关与证书管理：** 日常不需要去广告或重写功能时，直接关掉客户端的「 HTTPS 解密」总开关；在 iOS 「证书信任设置」中也可以随时关闭根证书信任。
3. **严格审查并排除敏感域名：** 检查已启用插件的 `hostname` 列表，警惕 `*` 通配符或与插件功能无关的域名；利用排除语法将银行、支付、邮箱、工作系统和 AI 服务永久排除在解密范围外。
4. **锁定本地明文副本：** 对必须使用的明文脚本，审查后保存为本地副本，避免直接使用远程订阅链接自动更新。
5. **保护根证书私钥：** 切勿分享包含 `ca-p12` 和 `ca-passphrase` 字段的配置文件。
**该用哪个软件**
* **首选推荐：[新版 Clash 客户端](
https://clash.md/zh/)（基于开源内核 [ProjectClash/Clash](
https://github.com/ProjectClash/Clash)）**如果你看重代码可审计性与权限透明，文章推荐采用基于 mihomo 开源内核的新版 Clash 。它的核心优势在于客户端与内核代码开源可核对，「 HTTPS 解密」默认关闭，且会在 App 内以只读列表清晰展示所有已启用模块的解密域名范围，兼容导入主流明文模块。
* **如果继续使用 Surge / Quantumult X / Shadowrocket / Loon：**
这些软件本身都具备完善的代理与分流能力，只要**坚持只用明文脚本/重写规则**、彻底远离 `.lpxe` 等加密插件，并养成在不用时关闭 MITM 总开关的习惯，同样可以安全使用。
Gemini is Al and can make mistakes.