Stash Mac 使用教程 订阅、节点与规则配置完整指南

一 苹果官方 Network Extension 框架原生驱动#

传统桌面代理往往需要依赖第三方开源驱动（如早期粗糙编译的虚拟网卡扩展）或频繁修改系统注册表项，在每次系统大版本升级时极易发生驱动不兼容导致的蓝屏断网。 Stash 严格遵循苹果官方的 Packet Tunnel Provider 网络扩展标准，直接调用 macOS 原生内核网络 API：

1. 系统级纯净度：运行在受控的系统安全沙盒中，无需关闭 Mac 的系统完整性保护（SIP），无需执行任何高危的终端终端注入指令；
2. 三层全局透明接管：自启动首帧起，即可完美接管整台 Mac 的所有 TCP 与 UDP 数据包，让终端命令行工具、网络游戏以及后台各类系统服务天然享受代理加速。

二 声明式模块（Modules）与覆写（Overwrites）体系#

很多用户使用代理软件最头疼的问题就是“机场订阅一更新，个人规则全被冲刷”。 Stash 在设计之初便从架构层面彻底分离了“数据（机场提供的节点列表）”与“逻辑（用户的分流偏好与去广告插件）”：

• 机场订阅保持只读与自动化定时刷新；
• 用户通过模块与覆写管道，在前置阶段动态注入个性化规则；
• 这种现代化的中间件链路设计，让复杂配置的维护成本无限趋近于零。

一 官方获取渠道与多设备授权#

Stash for Mac 主要有两种官方获取路径：

1. Mac App Store 直接下载（强烈推荐）：如果你此前已经在 iPhone 或 iPad 上通过非国区 Apple ID 购买过 Stash 的通用买断包（Universal Purchase），那么在 Mac 的 App Store 中登录相同 Apple ID，即可直接免费下载 Mac 原生桌面版，无需二次付费；
2. 官网独立版本（Standalone）：开发者官网提供的独立激活版本，适合拥有独立授权序列号的用户。

二 安装与网络扩展授权实战#

1. 从 App Store 安装完成后，打开“访达” -> “应用程序”，双击启动 Stash；
2. 首次授权核心网络扩展：首次点击主界面顶部的连接滑块时，macOS 会弹出系统级安全提示窗口（“Stash 想要添加网络扩展配置”）；
3. 必须在弹窗中点击“允许”（Allow）；
4. 随后系统会引导打开 Mac 的“系统设置” -> “隐私与安全性”，如果在界面下方看到“来自开发者‘Stash Networks Limited’的系统软件已被阻止载入”，点击旁边的“允许”按钮，并输入一次 Mac 开机登录密码或通过 Touch ID 确认；
5. 此时 Stash 的核心扩展已在 macOS 系统底层成功挂载，状态栏图标点亮，代表系统级三层虚拟隧道已随时就绪。

一 导入远端 Clash 格式订阅#

1. 打开 Stash 主界面，在左侧导航栏中点击进入“配置”（Config）面板；
2. 点击右上角的“从 URL 下载”按钮（或点击“+”号选择“从 URL 下载”）；
3. 弹出订阅录入小窗口：
   • 名称（Name）：自定义一个便于识别的标签，例如“主力专线机场”；
   • URL：将从机场用户中心复制的 Clash 原生订阅链接粘贴至该输入框中；
4. 点击“下载”，Stash 会在数秒内完成远程 YAML 报文的下载与本地语法编译，并在界面中生成一张信息密度极高的配置卡片；
5. 卡片上会直观呈现该订阅的节点总数、剩余流量额度以及到期日；
6. 鼠标点击该卡片右侧的勾选圆圈，当圆圈变为醒目的高亮状态时，即代表该配置已被底层核心正式挂载生效。

二 配置自动化定时静默更新#

为了防止机场节点因机房检修变动导致失效，建议开启自动同步：

• 在配置卡片上点击右侧的“更多”（三个圆点）图标，选择“编辑配置”或“设置”；
• 开启“自动更新”开关，并将更新间隔设定为 12 小时或 24 小时；
• Stash 会在后台依靠极低的系统资源静默拉取节点增量更新，完全无需用户反复手动介入。

一 什么是 Stash 模块（Modules）#

模块是一套预先封装好的功能补丁包，内部通常包含特定的分流规则集、DNS 策略、重写规则（Rewrite）甚至是特定网站的解锁脚本。

• 用户可以一键开启或关闭某个模块；
• 模块之间互不干扰，能够自由重叠生效；
• 极大免除了手动向配置文件中逐行粘贴成千上万行去广告规则的繁琐。

二 常用模块安装与即插即用实战#

1. 在左侧功能栏中点击进入“模块”（Modules）面板；
2. 点击右上角“+”号，选择“从 URL 安装模块”；
3. 引入知名去广告模块：粘贴开源社区维护的去广告模块链接（例如知名去广告规则），点击安装；
4. 安装完成后，模块列表中将出现该功能卡片。点击卡片右侧的滑块开关即可一键激活；
5. 此时刷新网页，各类恶意的弹窗广告、视频开屏广告在触达 Mac 之前便会被底层内核直接静默丢弃。

三 本地覆写（Overwrites）固化个人工作路由#

如果需要强制让公司内网域名、特定私有云服务器走直连，可以在“覆写”面板中添加自定义规则：

1. 点击“覆写” -> “新建覆写”；
2. 编写如下前置分流条目：

1
# Stash 本地工作路由前置覆写规则
2
rules:
3
  # 公司内网研发与代码仓库强制走本地直连
4
  - 'DOMAIN-SUFFIX,corp.internal,DIRECT'
5
  - 'DOMAIN-KEYWORD,dev-cluster,DIRECT'
6
  - 'IP-CIDR,10.0.0.0/8,DIRECT,no-resolve'
7
  - 'IP-CIDR,172.16.0.0/12,DIRECT,no-resolve'
8
  - 'IP-CIDR,192.168.0.0/16,DIRECT,no-resolve'
9

10
  # 关键生产力服务定向走专线
11
  - 'DOMAIN-SUFFIX,github.com,🚀 节点选择'
12
  - 'DOMAIN-SUFFIX,openai.com,🚀 节点选择'

3. 保存并启用该覆写。无论机场订阅如何更新，你的企业内网直连策略将始终稳如泰山。

一 实时活动连接大屏的观测维度#

在左侧导航栏点击进入“连接”（Connections）或“仪表盘”（Dashboard）：

1. 按应用精准聚合（Group by App）：Stash 能够直接通过 macOS 内核探针，识别出每一个网络请求是由哪个具体应用程序（如 Safari.app、Telegram.app 或终端 curl）发起的；
2. 域名与出口节点追踪：清晰展示连接请求的目标真实域名、DNS 映射的虚拟 IP、实际命中的分流规则条目以及当前为其提供出站通道的代理节点；
3. 瞬时速率与流量累计：以毫秒级的刷新率动态渲染每个活跃进程的实时上传/下载速率曲线。

二 进程级规则与按应用定向分流#

很多用户希望实现“特定软件定向分流”：例如让海外视频会议软件 Zoom 强制走香港专线保障语音流畅，让设计工具 Figma 走日本专线，而国内办公软件钉钉与微信强制走直连。 在 Stash 规则中，可以通过 PROCESS-NAME 语法实现这一高阶诉求：

1
# Stash 按应用程序精准分流配置切片
2
rules:
3
  - 'PROCESS-NAME,zoom.us,⚡ 香港低延迟专线'
4
  - 'PROCESS-NAME,Telegram,⚡ 香港低延迟专线'
5
  - 'PROCESS-NAME,Figma,🇯🇵 日本高速通道'
6
  - 'PROCESS-NAME,Spotify,🇺🇸 美国大带宽通道'
7
  - 'PROCESS-NAME,WeChat,DIRECT'
8
  - 'PROCESS-NAME,DingTalk,DIRECT'

一 Fake-IP 模式的秒级握手闭环#

在 Stash 的高级网络设置中，默认开启 Fake-IP 增强解析模式：

1. 连接零等待：当应用程序发起域名解析时，Stash 立即从本地保留池（198.18.0.0/15）分配一个虚拟 IP 秒级应答给操作系统，应用程序即刻发起 TCP 握手；
2. 远端安全解析：当数据包真正抵达出口节点时，节点在所在地区的纯净 DNS 环境中进行实际解析并建立连接；
3. 免疫本地污染：域名根本没有在本地物理线路上进行实际递归查询，彻底免除了本地 ISP 运营商的劫持风险。

二 配置纯净上游 DoH 与 DoT 解析器#

在 Stash 配置文件中，建议显式配置高质量的上游加密 DNS：

1
# Stash 生产级纯净 DNS 配置示例
2
dns:
3
  enable: true
4
  listen: 127.0.0.1:1053
5
  enhanced-mode: fake-ip
6
  fake-ip-range: 198.18.0.0/15
7
  nameserver:
8
    - 223.5.5.5
9
    - 119.29.29.29
10
  fallback:
11
    - https://1.1.1.1/dns-query
12
    - https://8.8.8.8/dns-query

一 验证 Stash 网络扩展运行状态#

在终端中执行系统级扩展查询指令，核查 Stash 的 Network Extension 是否正常处于常驻激活状态：

1
# 检索当前系统已加载的 Stash 网络扩展状态
2
systemextensionsctl list | grep -i "stash"

若返回的条目末尾显示 [activated enabled]，代表核心扩展处于健康的系统级激活状态。

二 探测虚拟网卡网关连通性#

通过向本地 Fake-IP 地址池网关发起 ping 测试，检验三层数据包捕获链条是否通畅：

1
# 测试 Stash 虚拟网卡网关响应时间与丢包率
2
ping -c 3 198.18.0.1

一 编写 Proxy Providers 多供应商配置#

在 Stash 配置文件中，可以将远端机场定义为独立的提供者对象：

1
# Stash 多机场 Proxy Providers 生产级配置示例
2
proxy-providers:
3
  Airport-Primary:
4
    type: http
5
    url: "https://sub-primary.example.com/api/v1/client/subscribe?token=secret1"
6
    interval: 86400
7
    path: ./providers/airport_primary.yaml
8
    health-check:
9
      enable: true
10
      interval: 300
11
      url: http://cp.cloudflare.com/generate_204
12

13
  Airport-Backup:
14
    type: http
15
    url: "https://sub-backup.example.com/api/v1/client/subscribe?token=secret2"
16
    interval: 86400
17
    path: ./providers/airport_backup.yaml
18
    health-check:
19
      enable: true
20
      interval: 300
21
      url: http://cp.cloudflare.com/generate_204
22

23
proxy-groups:
24
  - name: "🚀 全球路由调度中枢"
25
    type: fallback
26
    interval: 180
27
    proxies:
28
      - "⚡ 主力专线优选"
29
      - "🛡️ 备用容灾优选"
30
      - DIRECT
31

32
  - name: "⚡ 主力专线优选"
33
    type: url-test
34
    use:
35
      - Airport-Primary
36
    interval: 300
37
    tolerance: 50
38
    url: http://cp.cloudflare.com/generate_204
39

40
  - name: "🛡️ 备用容灾优选"
41
    type: url-test
42
    use:
43
      - Airport-Backup
44
    interval: 300
45
    tolerance: 50
46
    url: http://cp.cloudflare.com/generate_204

二 多供应商架构的工程收益#

1. 彻底根除单点故障：当主力机场突发网络割接或受到大流量攻击时，Fallback 策略组会在健康检查探测超时后，秒级无缝将所有流量自动导向备用机场；
2. 离线高可靠落盘：配置中的 path 字段指示客户端将节点数据持久化保存在 Mac 本地硬盘上。即便机场官网遭遇突发宕机，Stash 重启时依然能够正常加载本地缓存的节点顺畅出网。

一 生成并信任 Stash CA 本地根证书#

1. 打开 Stash 设置，进入“MITM”（中间人解密）面板；
2. 点击“生成新 CA 证书”，Stash 会在本地钥匙串中生成一张专属的高强度加密证书；
3. 点击“安装证书”，系统会自动打开 macOS 的“钥匙串访问”（Keychain Access）；
4. 在钥匙串中找到名为 Stash Root CA 的自签名证书，双击打开其属性窗口；
5. 展开“信任”菜单，将“使用此证书时”下拉框修改为**“始终信任”（Always Trust）**，关闭窗口并输入 Mac 开机密码确认；
6. 返回 Stash 主界面开启 MITM 开关，即可激活对指定安全域名的请求重写与解密过滤。

二 严格的安全审计与隐私防护规范#

启用 MITM 涉及极高的网络安全特权，在日常配置中必须遵循严苛的安全防护准则：

• 严禁对金融网银启用通配符解密：在 MITM 的 Host 列表中，绝对禁止包含 *bank*、*alipay*、*paypal* 等涉及财产资金安全的敏感域名，防止金融传输受到潜在干扰；
• 私钥妥善保管：本地生成的 CA 私钥仅存储在 macOS 系统的加密安全硬件容器（Secure Enclave）中，切勿将证书及私钥文件导出分享给任何第三方。

一 自动检测活动网络接口机制#

Stash 的 Network Extension 在启动时会自动扫描整台 Mac 的所有物理网络接口：

1. 精准锚定主出口：识别出承载默认网关的第一优先级物理网卡，并将发往代理节点的加密隧道流量严格绑定至该物理网卡；
2. 杜绝数据包自嵌套：防止客户端向海外代理服务器发送的加密握手流量被自身的虚拟网络扩展二次捕获，从根本上消除了陷入路由无限死循环导致整机网络瘫痪的致命隐患。

二 热插拔网络自愈能力#

当用户拔掉雷电扩展坞网线、电脑无缝切换至无线 Wi-Fi 时，Stash 能够在 500 毫秒内感知到底层物理接口的变动，并在后台自动完成路由重映射，保障正在进行的视频会议或大文件传输无需重启客户端即可平滑过渡。

一 开启 iCloud 云端配置同步#

在 Mac 上的 Stash“设置”中，找到并开启“iCloud 同步”开关：

1. 自动上传本地规则：客户端会自动在你的 iCloud Drive 根目录下创建 Stash 专属应用文件夹，并将本地创建的自定义配置文件、覆写脚本及自定义模块静默上传至云端；
2. 多设备毫秒级拉取：当你在 iPhone 或 iPad 上打开 Stash 时，移动端会自动检测到云端配置变动并静默更新。这意味着你在 Mac 上精心编写的一套去广告规则或企业内网直连策略，只需几秒钟便能自动漫游至随身携带的手机上，彻底免去了多台设备重复手工导入的繁琐劳动。

二 应对多端设备屏幕与分辨率差异的分流优化#

虽然 iOS 与 macOS 共享相同的分流核心，但两者在后台常驻策略上存在微小差异：

• 在云端主配置中，建议保持基础分流规则（如 GEOIP 与 GEOSITE）的全局一致性；
• 针对 Mac 平台独有的桌面开发进程（如 git、docker、brew），通过本地独享的“覆写”（Overwrites）进行局部追加，既享受了跨端云同步的便捷，又保障了桌面端专属业务的极致自由。

一 编写轻量 HTTP 请求拦截脚本#

用户可以编写如下标准的 JavaScript 脚本，挂载在 Stash 的脚本规则链中：

1
// Stash 动态 HTTP 请求头处理脚本示例
2
const url = $request.url;
3
const method = $request.method;
4

5
// 动态修改特定 API 请求的用户代理标识
6
let modifiedHeaders = $request.headers;
7
if (url.includes("api.example.com")) {
8
    modifiedHeaders['User-Agent'] = 'Stash/2.6.0 (Macintosh; Apple Silicon)';
9
    modifiedHeaders['X-Custom-Client'] = 'Enterprise-Workstation';
10
}
11

12
$done({ headers: modifiedHeaders });

二 脚本运行能效与内存安全限制#

为了防止低效或存在死循环的第三方脚本拖慢整台 Mac 的网络性能，Stash 对脚本执行施加了严密的硬件沙盒限制：

1. 执行超时强制熔断：单个脚本执行时间若超过 5000 毫秒，底层内核会自动强行终止该脚本并返回原始数据包，保障业务网络绝不发生阻塞死锁；
2. 零垃圾堆积：脚本运行在轻量级隔离上下文中，执行完毕后内存瞬间被操作系统回收，长久运行依然保持数十兆的超低系统常驻。

案例一 点击开启连接滑块时反复提示“需要允许系统扩展”#

故障现场：某用户在全新安装的 macOS Sonoma 系统的 MacBook 上启动 Stash，拨动连接滑块后系统弹出扩展授权提示，点击去设置后，在“系统设置”的隐私页面中没有找到任何允许按钮，滑块自动回弹关闭。
根本原因：macOS 的安全扩展授权机制在特定情况下存在界面刷新延迟，或者该台 Mac 受制于公司企业移动设备管理（MDM）描述文件的安全限制，禁止未经企业证书签名的系统扩展载入。
处置流程：

1. 打开“终端”应用，执行指令重置系统扩展管理器缓存：sudo systemextensionsctl reset；
2. 重启 Mac 电脑；
3. 重新打开 Stash 并点击开启连接，在弹出的窗口中点击“打开系统设置”；
4. 此时在“隐私与安全性”底部顺利显现出“允许”按钮，点击并输入开机密码完成授权，连接顺利建立。

案例二 开启连接后微信无法收发图片但能发送文字消息#

故障现场：用户导入订阅开启代理后，网页浏览极为顺畅，但微信朋友圈与私聊图片加载持续转圈卡死，文字消息收发正常。
根本原因：订阅配置中的规则集较老，未将腾讯微信用于多媒体分发的国内 CDN 域名（如 *.qpic.cn、*.weixin.qq.com）正确收录进直连规则中。这些大流量多媒体请求被误判为海外流量并转发至海外代理节点，图片数据被迫绕道国外再兜回国内，产生巨大时延与严重丢包。
处置流程：

1. 在 Stash 左侧进入“覆写”（Overwrites）面板；
2. 添加一条针对微信的直连放行规则：DOMAIN-SUFFIX,qpic.cn,DIRECT 与 DOMAIN-SUFFIX,weixin.qq.com,DIRECT；
3. 保存并刷新覆写，微信图片在 1 秒内瞬间加载完毕。

案例三 节点测速全部显示红色感叹号且控制台日志报时钟超限#

故障现场：用户携带 MacBook 出国出差，在时区切换后打开 Stash，进行节点测速时列表中所有节点全部超时，无法建立连接。
根本原因：在跨时区移动过程中，系统时钟虽然调整了时区，但本地 RTC 硬件时钟与远端标准 NTP 服务器的时间偏差超过了 90 秒。TLS 加密握手协议的时间戳防重放校验失败，导致核心主动切断握手。
处置流程：

1. 打开 Mac“系统设置” -> “通用” -> “日期与时间”；
2. 取消勾选“自动设置时间”，随后重新勾选，迫使系统向 time.apple.com 发起一次即时 NTP 对齐；
3. 在终端中执行 sudo sntp -sS time.apple.com 强制校验；
4. 返回 Stash 再次点击测速，所有节点瞬间恢复为 80ms 健康绿字。

案例四 退出 Stash 后整台 Mac 无法解析任何域名#

故障现场：用户退出 Stash 应用后，无论是 Safari 还是终端均提示“找不到服务器 DNS 地址”，微信同样掉线。
根本原因：退出软件时，底层 Network Extension 出现进程崩溃挂起，导致虚拟网卡设置的静态 DNS（198.18.0.1）未能及时从系统的物理网卡中注销，整个系统的 DNS 请求依然被发往已经关闭的虚拟端口。
处置流程：

1. 打开“系统设置” -> “网络” -> 点击当前连接的 Wi-Fi 后面的“详细信息”；
2. 选择左侧的“DNS”选项卡；
3. 检查右侧列表中是否存在 198.18.0.1，选中该条目并点击下方的“-”号将其删除；
4. 手动添加一条国内纯净 DNS（如 223.5.5.5）并点击完成；
5. 在终端执行 sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder 刷新本地 DNS 缓存，网络瞬间复原。

Q1 已经在 iPhone 上购买过 Stash，在 Mac 上还需要重新花钱买吗#

A1：完全不需要。Stash 在 App Store 采用了苹果官方的通用购买（Universal Purchase）协议。只要在 Mac 的 App Store 中登录你当初购买 Stash 的同一个 Apple ID，搜索 Stash 即可直接免费下载并自动激活，享受一份购买、多端通用的特权。

Q2 Stash 的“模块”和“覆写”有什么区别，应该怎么用#

A2：“模块（Modules）”是打包好的功能补丁（可以包含规则、DNS 与重写等），支持像插件一样即插即用，通常用于引入第三方维护的去广告或脚本包；而“覆写（Overwrites）”通常是用户自己在本地编写的局部配置覆盖项（如强行将公司内网域名直连）。两者协同生效，无需修改原始订阅即可实现高阶定制。

Q3 为什么开启 Stash 后，终端里的 curl 和 git 依然无法加速#

A3：请确认 Stash 主界面的开关是否已经完全连接，并且 Network Extension 已获得授权运行。只要 Stash 处于正常运行状态，其底层网络扩展会自动在网络第三层接管整台 Mac 的所有数据包，包括终端命令行。若依然无法加速，检查分流规则中是否将目标域名误判为了 DIRECT 直连。

Q4 Stash 支持测速时自动选择延迟最低的节点吗#

A4：完全支持。在配置文件中只要包含 url-test 类型的策略组（通常在策略组列表中命名为“自动选择”或“Auto”），Stash 就会在后台定期对节点进行健康探测并自动将流量调度至延迟最低的节点上。

Q5 为什么看 Netflix 或 Disney+ 提示您似乎正在使用代理工具#

A5：这是因为当前选用的节点 IP 属于普通数据中心广播 IP，已被流媒体平台的风控数据库拉黑。在 Stash 的策略组中，为流媒体服务单独切换一个带有“原生 IP”或“流媒体解锁”标注的优质住宅专线节点即可顺利观看。

Q6 开启 Stash 会不会影响 MacBook 的电池续航和发热#

A6：影响极小。Stash 深度利用了苹果原生的 Network Extension 框架和低功耗网络 API，在纯 ARM64 架构的 M 系列芯片上运行效率极高。在后台待机时，CPU 占用率通常不足 0.5%，日常使用对电池续航的影响微乎其微。

Q7 提示 invalid configuration 订阅导入失败怎么排查#

A7：这通常是因为下载下来的并未返回标准的 YAML 文件，返回了机场服务端返回的 502 报错页面或 Base64 纯节点编码流。可先将订阅链接在浏览器中打开，确认下载的文件内容是否以 port:、proxies: 等标准 Clash 字段开头。若为纯节点编码，需通过订阅转换工具转为标准配置后再行导入。

Q8 为什么在仪表盘中看到很多未知域名的请求显示为 198.18.x.x#

A8：这是 Fake-IP 模式的正常运行现象。198.18.0.0/15 是互联网工程任务组（IETF）专门为基准测试和虚拟网络保留的专用私有地址段。Stash 在本地向操作系统分配这些虚拟 IP 以实现零延迟连接建立，并在出口节点还原真实域名。

Q9 如何让特定的大型软件（如 Xcode 模拟器）彻底绕过 Stash#

A9：在“覆写”设置中，添加一条基于进程名的直连规则：PROCESS-NAME,Simulator,DIRECT，内核在检测到来自该应用的套接字通信时，会直接放行至物理物理网卡，不走任何代理过滤。

Q10 卸载 Stash 时需要注意什么#

A10：在完全退出应用前，务必先在主界面点击滑块停止连接，让系统网络扩展能够安全注销并还原系统路由。随后将应用程序中的 Stash.app 拖入废纸篓，并前往 ~/Library/Containers/ws.stash.mac 目录清理本地应用沙盒数据即可彻底卸载。

一 解决企业认证门户（Portal）打不开的问题#

企业无线网通常会将所有未通过认证的 HTTP 请求强行劫持到内网认证服务器（例如 10.254.0.1）。

1. 冲突成因：Stash 的 Fake-IP 模式会向系统返回虚拟 IP，导致企业网关的重定向检测机制失能，浏览器无法弹出登录窗口；
2. 优雅处置：在接入新 Wi-Fi 时，先在 Stash 状态栏将开关临时切换为“停止连接”；打开 Safari 访问 http://captive.apple.com 成功触发企业门户并输入工号密码完成认证；认证完毕且本地网络通畅后，重新打开 Stash 代理开关即可畅通出海。

二 保护企业内网涉密业务的白名单机制#

针对企业内部的 GitLab 代码仓库、Jira 项目看板或远程堡垒机（IP 地址通常位于 10.0.0.0/8 或 172.16.0.0/12 网段）：

• 在 Stash 规则中，务必将 ip-is-private 与内网网段规则置于规则树的最高优先级；
• 显式声明 DIRECT 直连，并附加 no-resolve 标记，阻止客户端向外部解析内网域名，彻底消除企业内网拓扑泄露的合规隐患。

一 节点密钥脱敏与日志审计规范#

在遇到网络故障向外界求助排查时，切勿直接将包含节点完整连接的 config.yaml 文件或控制台抓包日志完整外传：

1. 打码处理 Token 访问令牌：将远端订阅 URL 中的身份凭据字符进行掩码遮蔽；
2. 隐藏自建 VPS 地址：对独立服务器的公网 IP 和 Reality 密钥进行打码；
3. 钥匙串密码硬件保护：Stash 会将用户的敏感配置数据加密保存在 macOS 系统的钥匙串（Keychain）中，受到苹果 T2 芯片或 Apple Silicon 的安全隔离区（Secure Enclave）硬件级防护，即使电脑失窃，非授权人员也无法直接导出你的节点密钥明文。