Shadowrocket 完整使用手册

阶段 02 / 建立权限边界

首次启动与 VPN 配置权限

首次打开后，先认识页面分工。Home（主页）用于管理服务器与连接状态；Config（配置）用于管理配置文件；Data（流量统计）用于观察用量；Settings（设置）用于调整相关选项。界面布局可能随设备或应用调整而变化，操作时以当前屏幕标签为准。先辨认所在页面，再找具体项目，避免把 Config 页面和 Global Routing 中的 Config 取值混为一谈。

理解系统授权的作用

Shadowrocket 建立连接时，需要由系统管理 VPN 配置。首次打开连接开关，系统可能提示允许添加 VPN 配置；阅读应用名称与提示内容，确认来自当前操作后再授权，并按系统要求完成设备验证。这个步骤允许应用建立相应网络连接，不等于服务器已经可用，也不等于某个网站一定会经由代理访问。

如果当时取消授权，先返回应用，不要连续快速切换连接开关。确认已有默认服务器，再重新发起连接并观察提示。若设备受到组织管理，系统可能限制添加 VPN 配置，这时应查看设备管理政策。不要通过反复删除所有系统网络设置来处理一个权限问题，先明确是用户取消、系统限制，还是连接资料本身有误。

授权后，可在系统设置中搜索 VPN，核对是否出现对应配置及当前状态。系统菜单位置可能变化，因此以设备上的搜索结果为准。不要仅凭状态栏是否显示标识判断连接成败：不同屏幕布局下标识的展示方式可能不同。应同时查看应用内开关、系统连接状态，以及后续的实际访问结果。

区分必要权限与操作触发权限

使用 Scan QR Code（扫描二维码）时，系统可能请求相机权限。只有扫描自己的服务器或订阅二维码时才需要处理这一项。若没有授权相机，可改用已有链接或手动填写信息，不必把相机问题当成所有导入方式都不可用。二维码可能包含完整认证资料，扫描前确认来源，导入后检查类型与地址，不要把二维码图片公开发布。

从剪贴板读取链接时，系统可能显示粘贴相关提示。先复制你确实准备导入的内容，再执行应用内的粘贴或导入动作。若剪贴板中混入说明文字、换行或空格，解析可能失败。不要为了绕开提示把订阅地址放到公开网页；应回到原始资料，重新复制完整内容，再按当前界面的导入入口处理。

涉及文件或云端内容的导入，取决于你选择的来源及系统授权。能够打开文件选择器，只证明应用可以读取所选文件，不证明文件格式适合当前入口。订阅、配置文件与服务器二维码用途不同，应使用各自对应的入口。若内容来自自己的云端备份，先核对文件名称与用途，再确认是否覆盖当前配置。

首次运行的检查顺序

先保持 On Demand（按需连接）处于你能理解的状态，首次排查建议使用手动开关控制连接。若启用了自动触发条件，可能出现刚关闭又重新连接的现象。此时先检查 On Demand，而不是立即判断应用异常。手动连接稳定后，再按实际需要配置自动连接条件，并确认在切换网络时的行为符合预期。

设备上若存在其他 VPN 连接，先在系统设置中核对当前由哪个配置接管。不要同时修改多套连接设置，再凭结果猜测是哪一套生效。记录原有状态，暂时停用与本次测试无关的连接后再验证；测试结束按需要恢复。组织提供的网络配置应遵守设备管理要求，不随意删除，以免影响其他正常用途。

本阶段结束时，应能说明当前在哪个页面、是否允许添加 VPN 配置、有没有启用 On Demand，以及导入操作需要什么额外权限。若应用能打开但没有服务器，继续下一章；若已有服务器但系统拒绝建立连接，先处理授权。权限正常后仍失败，再查认证和网络，避免在错误层级反复尝试相同操作。

阶段 04 / 决定流量去向

Global Routing 三姿态与规则

Global Routing（全局路由）决定本次连接采用哪种处理方式。常用三姿态为 Config（配置）、Proxy（代理）和 Direct（直连）。选中服务器只确定代理连接使用哪个端点，并没有决定所有请求都走它。排查时应同时记录默认服务器、路由姿态和当前配置文件，否则同一网站在不同模式下的结果缺少可比较的前提。

先选姿态，再解释结果

需要规则分流时，先到 Config 页面确认文件内容并选用，再将 Global Routing 设为 Config。导入一个配置文件，不一定意味着它已经成为当前使用的文件。若在 Proxy 下修改规则后访问结果没有变化，先检查姿态，而不是不断移动规则位置。姿态不同，规则是否参与当前处理就不同。

有些界面还会出现 Scene（场景）入口，应将它理解为按已设条件组织行为的相关功能，而不是替代上述三姿态含义的通用规则。没有明确场景需求时，先使用三种基础姿态完成验证。自动场景和 On Demand 同时参与时，先确定各自条件，再判断当前状态为什么变化，不把所有自动行为都归到规则匹配。

理解规则顺序与兜底

规则通常从上往下匹配，先命中的规则决定后续处理。具体目标放前面，范围更大的条件放后面，FINAL 放末尾作为兜底。PROXY 与 DIRECT 是规则中的策略关键字，和界面取值 Proxy、Direct 的写法不同。编辑时保留原有关键字大小写与逗号结构，不把中文解释写入规则字段。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
GEOIP,CN,DIRECT
FINAL,PROXY

这段示例先让示例域名及其子域名使用 PROXY，再将指定私有地址段交给 DIRECT，然后根据 GEOIP 条件处理对应地址，最后让剩余流量使用 PROXY。它是供理解顺序的 .conf 片段，不是适用于所有网络的完整配置。加入已有文件时，应编辑已有的 [Rule] 区段，保留其他必要区段，不重复堆叠多个兜底规则。

限制修改范围

域名规则不填写网页路径或整段网址。例如网页地址中的协议前缀、斜杠后路径和查询参数，不属于 DOMAIN-SUFFIX 的域名字段。IP 规则中的 no-resolve 用于限制该规则触发额外域名解析的行为，不代表整个配置停止使用 DNS。若目标实际使用 IPv6，只检查 IPv4 地址段并不足以解释全部请求。

修改前复制一份当前配置，每次只增加一个能说明目的的条件。先确认文件能保存并被选用，再用固定目标测试。若结果与预期不同，依次检查是否命中了更靠前的规则、页面是否请求其他域名、连接是否仍沿用旧会话。仅刷新页面可能保留已有连接，可在保存后重新连接，再进行相同测试。

只让指定网站走代理时，可以使用明确域名规则并以 FINAL,DIRECT 兜底，但应先理解页面还可能访问登录、图片和媒体等独立域名。不要因为一个资源失败就把关键词匹配范围扩大到无法解释。具体操作可参阅指定网站的 Config 规则示例，先做最小修改，再根据实际请求补齐范围。

阶段 06 / 阅读统计边界

Data 流量读数与用量判断

Data（流量统计）用于观察应用所记录的网络活动，不是运营商计费页面。阅读时先确认视图、统计对象与时间范围，再比较数值。上传表示从设备发出的数据，下载表示设备接收的数据；累计值描述某段范围内的合计，速率描述某一时刻或短时间窗口的变化。它们不能直接互换，也不能仅凭一个数字判断连接是否健康。

先确认当前统计视图

打开 Data 后，先阅读当前视图的标签。按服务器查看时，重点是哪个连接对象承担了流量；按应用查看时，重点是应用能够识别和归类的请求来源。两种视图不是同一张账单的不同排序，识别范围、归类方法和统计起点可能不同。不要在未确认口径时，将两边的每一行强行相加或逐项对应。

如果列表中出现无法明确归属的项目，先把它理解为当前识别能力与连接记录的边界，不直接认定存在异常程序。系统服务、后台活动与应用内部请求可能让名称不够直观。应结合发生时间、当时打开的应用和连接行为分析。仅凭显示名称不能推断某个请求的完整内容，更不能替代设备本身的应用权限检查。

查看累计值前，确认界面是否注明统计范围、是否曾手动清零，以及应用重启或数据恢复后读数是否仍延续。若界面没有给出明确起点，不把它标成“本月流量”。不同设备的数据也不默认连续。需要长期记录时，自己保存观察起点与读数，后续在相同范围内比较，不给没有依据的数字附上账期含义。

为什么与账单不同

运营商统计的是其网络侧的计费流量，Data 统计的是应用能观察到的相应活动。协议封装、连接维护、重传以及其他未经过相同处理路径的请求，都可能造成差异。设备可能还在 Wi-Fi 与蜂窝网络之间切换，两个来源的用量不能混为同一账期。Data 可帮助判断变化方向，但实际费用与额度以运营商记录为准。

服务器一侧的用量也可能采用不同口径，例如分别记录不同方向、不同结算范围或特定会话。不要用客户端某一行的数值反推服务商扣量公式。若差异需要核查，先确定双方相同的起止时间、单位和方向，再咨询自己的服务商。没有统一口径时，数字不相等本身不足以说明哪一方出错。

用固定操作观察增量

需要确认某次访问是否产生流量时，先记录测试前读数，再进行一次明确操作，等待界面更新后看增量。测试期间暂停与本次检查无关的大文件同步或媒体播放，减少背景噪声。不要把短时间内所有增量都归到刚打开的网页，因为后台应用可能同时通信；必要时重复同样操作，比较变化是否一致。

开关开启而读数不明显，不一定是应用停止工作。页面可能从缓存加载，也可能按规则直连，或者当前没有新请求。反过来，屏幕没有操作但读数增加，也可能来自正常的后台同步。判断前先回到 Global Routing 和 Config，确认目标流量的预期路径，再结合 Data 观察，而不是拿统计页面替代路由检查。

瞬时速率跳动属于短窗口观测，不等于长期带宽。视频缓冲、分段下载和短连接都可能出现先高后低的读数。比较连接表现时，使用相同任务和近似网络条件，避免把一次缓存命中与一次完整下载放在一起。速度单位也要看清，字节与比特不是同一单位，不能忽略界面单位后直接比较数字大小。

准备清零前，先保存需要的记录，再确认清零影响范围。清零只改变统计展示或相关记录，不会重置服务器认证，也不能修复连通性问题。分享 Data 截图时遮去能识别个人账户或服务器的内容。更细的视图解释可读Data 流量读数说明；本章的目标是建立正确口径，而非用统计结果代替账单。

阶段 08 / 保留可恢复状态

更新、备份与日常维护

日常维护的目标是知道当前使用什么、资料来自哪里，以及出错后如何回到可用状态。服务器订阅、Config 配置与客户端更新是三条不同流程：订阅更新连接资料，配置更新路由和相关设置，App Store 更新应用。某一项成功，不代表其他项同步变化。维护前先说明本次要处理哪一层，不同时重做所有内容。

分开处理三类更新

更新订阅前，先确认当前分组来源与有效状态。更新后检查条目是否被替换、默认服务器是否仍选中、协议参数是否变化，再进行一次连接验证。若订阅无法更新，先保留原有可用条目，不要立刻删除整组。已有服务器仍可连接而订阅更新失败，可能只是获取订阅内容的路径出现问题，应分别排查。

更新 Config 前，先保存当前可用副本，再确认新内容的用途和来源。若你在旧配置中加入了本地规则，更新可能改变这些内容，应先比较相关区段。保存后确认当前选用的文件，再验证关键目标。不要仅凭文件名称相似就认定两份配置等价，真正影响行为的是规则、策略及其相关设置。

客户端更新通过 App Store 进行，可按设备上的自动更新设置或商店更新入口处理。更新完成后先检查已有资料是否正常，再测试常用连接。若行为发生变化，先回看当前界面说明与商店提供的更新记录，不凭印象推断某个版本必然修复或引入某项问题。本手册不维护具体版本号或更新日期清单。

备份资料与迁移设备

备份时区分服务器、订阅地址和完整配置。只保存一份规则片段，通常不能恢复所有认证与连接参数；只保存订阅地址，也不一定包含你手动添加的独立服务器。按应用当前提供的导出或备份方式处理，并阅读包含范围。备份完成后检查文件能否打开、内容是否完整，但不要为了验证而覆盖唯一可用的配置。

备份中可能含密码、UUID、订阅参数及其他认证信息，应存放在你控制的受保护位置。文件名可以描述用途，但不写入完整凭据。需要跨设备迁移时，使用自己信任的传输与存储方式，完成后清理临时副本。发送配置求助之前先制作脱敏副本，原始备份留在自己的保存位置，不直接作为公开附件。

换到新 iPhone 或 iPad 时，先从 App Store 恢复客户端，再恢复资料，最后重新处理设备上的 VPN 授权。购买记录、应用数据与系统权限是不同层级，不默认一起迁移。旧设备暂时保留到新设备完成连接和规则验证后，再按需要清理。兼容性与购买适用范围以 App Store 页面标注为准，恢复问题可查已购恢复章节。

建立简短的故障记录

维护记录不必复杂，但应包含当前服务器的可辨认名称、协议、路由姿态、配置名称、网络环境和测试结果。记录时避开真实凭据。发生故障后，先回想最近一次变动：是订阅更新、规则编辑、系统权限变化，还是网络切换。明确变化点后，优先验证相关层级，比重新填写全部字段更容易定位原因。

检查顺序
1. 当前网络本身是否可用
2. 默认服务器是否仍被选中
3. Global Routing 是否符合预期
4. 当前 Config 是否为预期文件
5. Connectivity Test 与实际访问是否一致
6. 最近修改能否恢复到原状态

长期不用的条目可以整理，但先确认它是否仍被默认选择、策略或配置引用。删除旧配置前保留可恢复副本，删除旧订阅前确认新来源已经验证。名称清晰比数量多更重要，可按用途区分日常配置与测试配置，避免在夜间或网络不稳定时误选尚未验证的文件。清理统计记录前也应保存需要的用量观察结果。

若多个目标同时异常，先查共同路径；若只有一个目标异常，先查该目标及对应规则。向自己的服务商反馈时提供协议、网络环境和脱敏错误，不发送 App Store 购买账户资料。客户端购买问题回到下载指南，术语含义查术语表，操作主线回到入门指南。将问题交给对应章节处理，才能避免把不同层级的故障混在一起。

完成维护后，回到日常使用姿态，确认 On Demand 条件、默认服务器和当前 Config，再做一次新请求测试。把临时测试开关恢复，把仍需观察的问题写清，并保留最近可用副本。手册的八个阶段可以循环使用：先确认对象，再授权、导入、选择路由、验证、观察、调整与保存，不以反复重装代替分层检查。