我去，原来 Loon 的加密插件能明文直接看用户密码，怎么办啊 换哪个好

[505s]

看到最近热门的 Clash 发了一篇文章，讲了 MitM 的原理吓出我一身冷汗啊。

https://x.com/ClashbyClash/status/2116694703357964555

是不是开启了这个 MitM 的功能使用了加密脚本，就得有自己被攻击的心理准备啊。

[505s]

这篇文章探讨了代理软件（如 Loon 、Surge 、Quantumult X 、Clash 等）中 **MITM （ HTTPS 解密）加密插件**带来的安全与信任风险，核心结论是：**看不见的代码，绝不能给它看你的明文流量。**

**文章核心总结**

* **最高权限与零透明度的矛盾：** 开启 HTTPS 解密并安装根证书后，MITM 插件中的脚本可以直接读取你的明文流量（含密码、Cookie 、Token ）、篡改网页响应，甚至利用内置 API 悄悄将数据外发。
* **加密插件（如 `.lpxe`）防君子不防小人：** 客户端本地必然存有解密逻辑，插件加密挡不住有逆向能力的人，却彻底剥夺了普通用户审查代码、排查恶意逻辑（尤其是特定条件下才触发的代码）以及跨软件迁移的权利。
* **自动更新放大供应链风险：** 一旦插件加密且支持远程自动更新，每次更新都相当于在完全盲盒的状态下重新授予最高网络权限，抓包也难以捕捉条件触发的偷跑流量。

**你该如何防范**

1. **拒绝加密 MITM 插件：** 绝不给任何加密、混淆或看不见源码的插件授予 HTTPS 解密权限。
2. **按需开关与证书管理：** 日常不需要去广告或重写功能时，直接关掉客户端的「 HTTPS 解密」总开关；在 iOS 「证书信任设置」中也可以随时关闭根证书信任。
3. **严格审查并排除敏感域名：** 检查已启用插件的 `hostname` 列表，警惕 `*` 通配符或与插件功能无关的域名；利用排除语法将银行、支付、邮箱、工作系统和 AI 服务永久排除在解密范围外。
4. **锁定本地明文副本：** 对必须使用的明文脚本，审查后保存为本地副本，避免直接使用远程订阅链接自动更新。
5. **保护根证书私钥：** 切勿分享包含 `ca-p12` 和 `ca-passphrase` 字段的配置文件。

**该用哪个软件**

* **首选推荐：[新版 Clash 客户端]( https://clash.md/zh/)（基于开源内核 [ProjectClash/Clash]( https://github.com/ProjectClash/Clash)）**
如果你看重代码可审计性与权限透明，文章推荐采用基于 mihomo 开源内核的新版 Clash 。它的核心优势在于客户端与内核代码开源可核对，「 HTTPS 解密」默认关闭，且会在 App 内以只读列表清晰展示所有已启用模块的解密域名范围，兼容导入主流明文模块。
* **如果继续使用 Surge / Quantumult X / Shadowrocket / Loon：**
这些软件本身都具备完善的代理与分流能力，只要**坚持只用明文脚本/重写规则**、彻底远离 `.lpxe` 等加密插件，并养成在不用时关闭 MITM 总开关的习惯，同样可以安全使用。

Gemini is Al and can make mistakes.

[netox]

明文脚本混淆下估计也可能还是有风险, 建议直接用 agent 审核每个要用的脚本:)

[505s]

@netox 看来只能让 agent 自己写脚本自己用了，不敢去插件中心随便一键安装一大堆了。

[infoscope]

自己抓包，丢给 AI 让 AI 写

[netox]

@505s 之前看过那些脚本, 因为有的引擎甚至还提供了 httpClient, 想想都觉得风险大的一 P; agent 自己写, 不用中转站, 风险还是小很多, 毕竟只是 js 脚本, api 和格式又限定, 没理由 agent 搞不定

[SenLief]

所有的 mitm 都可以吧，mitm 都拿到证书了。

[darksword21]

mitm 是 mitm ，插件加密是插件加密，你在这一惊一乍的干嘛呢

顺便，这人不是那个想装孙子当官方 clash 的傻逼吗，别转屎到 v2 啊

[505s]

@darksword21 你这个语言挺猛啊。

也建议你读书后（无恶意攻你，去了解一下这个 mitm +插件 能做的能力吧。

[shuiduoduo]

和 loon 插件加密有啥关系 你还不如直接怪苹果为什么允许信任三方证书 任何一个 iOS 的代理软件都支持 mitm

[shuiduoduo]

和你自己下载一个病毒软件中毒了 怪系统

[Ariver]

不知道你是真不懂还是装不懂？
mitm 的目的就是这个啊。
这个软件作者不就是为了蹭流量吗？

[505s]

所以三点核心问题都不看的吗？
-最高权限与零透明度的矛盾
-加密插件（如 `.lpxe`）防君子不防小人
-自动更新放大供应链风险
这才是问题关键吧，都开 MITM 了难道要把自己的所有请求都应该明文交给别人吗？

[Neolin]

这软件作者本来就是硬蹭 Clash ，和原来的 Clash 没半点关系。还有看事情看全，可莉前脚因为不想让这人直接抄插件所以才加密的插件，这人后脚就写这个帖子，很难不让人怀疑他就是故意报复的

[Neolin]

https://t.me/ibilibili/2213
补全一下上下文

[darksword21]

@505s #8 mitm 就是要看你明文啊怎么了，这不是你自己选的？插件加密那我也不敢用啊，但是他们俩就是分开的东西啊，你标题写的插件加密震惊贴，里面又写 mitm 惊出你一身冷汗，我说的也没问题啊，你是之前没了解过 mitm 能做的能力？

[darksword21]

@505s #8 而且这个傻逼就像楼上说的纯蹭流量的，已经是清朝时候的事了，你不仅要多读书也得多上上网啊

[V2Try]

你 tm 在逗我，mitm 就是让它变成明文，要不然怎么抓包。

[505s]

你们吵吧
我去找 AI 写脚本了

[nagisavpn]

不去广告就关了呗，这玩意还费电

[rollingshmily]

起因是垃圾人以“开放”的名义偷别人东西，给自己网站引流，不以为耻反以为荣，结果反而被人带起了 Loon 的节奏，我已经在论坛看到好几个帖子了实在是无语。Loon 方面也没有禁止使用开源插件吧，带什么节奏呢？使不使用加密插件纯属个人需要和自由，同时 loon 也在做加密插件的风险提示和安全加固，这些人又选择性不看了。

[DearFox]

代理软件这么敏感,还弄个加密插件,这真是脑子让门夹了想出来的,作者自毁前程.真要弄这个功能.软件不没落,就见鬼了

[jsnjycwyz449]

揣着明白装糊涂，MitM 不就是这个作用吗？带啥子节奏，加密脚本确实难以控制行为，但用 MitM 起节奏也是有点病

[everfly]

其实 MITM 正常就不应该开放出来作为一项功能给用户使用。

[Bad0Guy]

@505s 你转的原推主在推特上早就被人喷过是个蹭流量的傻逼，劣迹斑斑的人发的帖子你还不如让 GPT 给你分析一下安全性，看了下你在评论区的发言跟那些 AI 营销号的认知也没区别

[QS0x01]

去医院治治脑子比较好,MITM 干什么都不明白就跑来发帖