iPhone iOS科学上网客户端选择与配置：Shadowrocket vs Quantumult X vs Loon vs Stash
2026 最新 iOS 平台四大代理客户端（小火箭 Shadowrocket、圈X Quantumult X、Loon、Stash）深度对比与选型配置指南。剖析 NetworkExtension 内存限制、Hysteria 2/REALITY 协议兼容度、MITM 证书解密与 Clash 规则移植，含实战排错与 FAQ。
对于中国大陆的 iPhone 用户而言，选择一款合适的网络代理客户端是开启流畅无感科学上网的第一步。面对外区 App Store 中备受推崇的 Shadowrocket（小火箭）、Quantumult X（圈X）、Loon 以及 Stash（Clash for iOS） 四大主流客户端，很多新手用户往往感到眼花缭乱：有人推荐便宜易用的小火箭，有人推崇功能强大的圈X，也有人偏爱模块化插件的 Loon 或完美兼容 Clash 规则的 Stash。
产生选择困难的根源，在于这四款客户端在 iOS NetworkExtension 系统底层调用、内存占用开销（Memory Limit）、现代加密协议（如 Hysteria 2 / VLESS-REALITY）支持度 以及 UI 视觉与脚本扩展性 上有着完全不同的设计哲学与技术侧重。
本文将为你全方位深度拆解 iPhone iOS 平台四大代理客户端。从 iOS 系统级网络接管原理、协议吞吐性能对比，到各个客户端的订阅导入实战、MITM 证书解密、故障决策树及 50+ 常见问题 FAQ，提供一份权威、客观且可落地执行的终极选型与配置指南。
一、 iOS 平台四大代理客户端概述与选型核心逻辑
1. iPhone 科学上网客户端的技术演进（iOS NetworkExtension 架构）
在 iOS 操作系统中，出于系统安全与隐私保护的极严考量，普通应用程序无法直接修改系统的默认网关或路由表。所有代理软件实现全局网络拦截的核心，完全依赖 Apple 官方提供的 NetworkExtension 框架（具体为 NEPacketTunnelProvider 接口）。
代理客户端在启动时，会向系统申请建立一个本地 TUN 虚拟网卡设备。操作系统的内核网络栈会将所有出站 IP 数据包全盘推给代理客户端的 Network Extension 进程。扩展进程在内存中完成报文的解包、规则匹配与加密封装，随后通过真实的物理网络（Wi-Fi 或蜂窝移动网络）发送出去。
由于运行在苹果沙盒（Sandbox）限制下，代理扩展进程有着极其严格的内存配额限制（早年为 15MB，现阶段为 50MB）。如果某个客户端代码架构臃肿，或者载入了包含数百万条规则的庞大规则集，会导致扩展进程瞬间突破 50MB 内存红线，被 iOS 操作系统内核无情强杀（OOM Error），表现为用户看到的“VPN 图标闪退”。
2. 四大客户端定位速查：Shadowrocket vs Quantumult X vs Loon vs Stash
针对不同的用户群体与使用场景，四大客户端形成了清晰的定位路线图：
【iOS 四大代理客户端技术定位】 | +-------------------+-------+-------+-------------------+ | | | | v v v v【Shadowrocket 小火箭】 【Quantumult X 圈X】 【Loon】 【Stash】- 售价 2 .99 - 售价 7 .99 - 售价 5 .99 - 售价 3 .99- 全协议兼容性王者 - 极致性能/脚本重写 - 现代化模块/插件 - Clash 移植版- 小白入门首选 - 技术极客硬核首选 - 颜值与实用并重 - 桌面与手机同源- Shadowrocket（小火箭）：全网普及度最高、售价最亲民（2 .99）。支持几乎所有主流与非主流代理协议（Shadowsocks、VLESS、VMess、Trojan、Hysteria 2、TUIC v5、REALITY、SSH），界面直观，更新极快，是小白用户的绝对首选。
- Quantumult X（圈X）：iOS 平台的性能引擎巅峰（7 .99）。采用纯 C/Swift 优化，内存占用极低，拥有极其强悍的本地与远程脚本重写（Rewrite）能力，深受技术极客与自动化玩法爱好者的喜爱。
- Loon：兼具优雅 UI 与强大插件扩展（5 .99）。引入了类似浏览器插件的“Plugin 模块”机制，将规则、重写和脚本打包为一键安装的插件，极大地降低了复杂高级功能的配置门槛。
- Stash：Clash 规则生态在 iOS 上的官方首选移植客户端（3 .99）。原生支持 Clash YAML 配置文件、Rule-Provider 动态规则集与 Mihomo 内核特性，非常适合已经在 Windows/Mac 上习惯了 Clash 配置的用户。
3. 核心选型三维度：协议兼容度、内存消耗与配置学习成本
挑选客户端时，用户应当重点评估以下三个硬性技术指标：
- 协议兼容度（Protocol Support）：你所使用的机场或自建节点采用了什么传输协议？如果采用了最新的 Hysteria 2 或 VLESS-REALITY，Shadowrocket 和 Stash 的更新跟进速度最快。
- 内存开销与稳定性（Memory & Battery）：在低内存机型（如旧款 iPhone）上长后台运行，Quantumult X 与 Loon 的内存管理更为出色，电池续航表现优秀。
- 配置学习成本（Learning Curve）：Shadowrocket 扫码即用；Stash 导入 Clash 链接即用；Loon 挂载插件即用；而 Quantumult X 复杂的远程资源引用需要一定的学习与调试成本。
iOS 系统进程隔离与底层网络包拦截的全流程剖析
从操作系统的安全架构视角来看，iOS 采用了相比 Windows 和 Android 更加严格的进程隔离（Process Isolation）与沙盒限制（Sandboxing）。在非越狱的 iOS 设备上，普通的第三方 App 绝无可能直接访问物理网卡的底层驱动，更无法像 Windows 那样直接修改系统的全局路由表。
NEPacketTunnelProvider 扩展机制的出现，本质上是苹果在保持系统沙盒安全的前提下，为 VPN 与网络代理软件开辟的一条合规通道。当扩展启动时，iOS 内核网络子系统会在系统底层创建一个虚拟 TUN 接口，并将该接口设为系统的首选路由。
应用程序发起的所有 TCP/UDP 数据包在进入协议栈后，会被内核的网络包过滤器（Packet Filter）截获，并通过共享内存缓冲区无缝送入扩展进程。扩展进程在用户态完成解密和分流后，再重新将数据包封装为常规的加密 UDP/TCP 数据包，通过真实的物理网卡发往外部网络。
这一双重进程交互的过程虽然保证了系统的安全性，但也带来了显著的 IPC（进程间通信）开销。客户端代码在处理大流量并发（如 4K 视频播放或高速下载）时，如何优化共享内存的读写效率、减少上下文切换开销，直接决定了该客户端在 iPhone 上的吞吐速度上限与系统发热表现。
二、 iOS NetworkExtension 架构与 15MB/50MB 内存极限深度剖析
为了透彻理解为什么某些客户端在配置大量节点后容易闪退，必须深入拆解 iOS 系统底层的 NetworkExtension 运行机制。
1. Apple NEPacketTunnelProvider 虚拟网卡通道与 TUN 报文拦截机制
当你在 iOS 设置中开启某个代理客户端的开关时，系统会提示“Shadowrocket/Stash 想要添加 VPN 配置”。这是 iOS 在授权应用程序创建 NEPacketTunnelProvider 扩展。
系统数据流转链路如下：
- 应用发包：Safari 或微信发起网络请求，数据包进入 iOS 内核网络栈。
- 三层拦截：iOS 路由引擎将数据包重定向至虚拟 TUN 适配器（IP 地址通常为
10.0.0.1）。 - 内存环形队列：TUN 适配器将三层 IP 数据包写入主进程与 Network Extension 共享的内存 Ring-Buffer 中。
- 扩展进程处理：代理客户端的扩展进程（如
ShadowrocketExtension）从内存中提取数据包，完成协议解密与规则判决。 - 加密发包：扩展进程调用底层的原始套接字（Raw Socket），将加密后的 UDP/TCP 报文通过真实的蜂窝网卡或 Wi-Fi 发送至代理服务器。
2. iOS 系统给扩展进程设置的 15MB/50MB 内存阈值与爆内存闪退原因
在 iOS 系统中，App 主程序（GUI 界面）与后台扩展进程（Extension）是两个独立的进程。主程序可以占用数 GB 的系统内存，但后台扩展进程受到了系统的严苛监控：
- iOS 14 之前：扩展进程的最大可用内存被严格限制在 15MB 左右。
- iOS 15 及后续版本：配额放宽到了约 50MB。
只要代理扩展进程的内存占用（Memory Usage）瞬间超过 50MB，iOS 内核的主动防爆机制（Jetsam Driver）就会瞬间将该扩展进程 SIGKILL 强杀！用户看到的视觉现象就是：系统状态栏上的“VPN”图标瞬间消失，网络瞬间断开。
导致爆内存闪退的三大诱因：
- 订阅节点数量极其庞大：某些机场订阅一次性导入了 500+ 节点，每一个节点的数据结构和加密密钥都会消耗内存。
- 规则集过于臃肿：引入了包含几十万条 IP 地址段和域名后缀的庞大规则库，导致规则树在内存中膨胀超过 30MB。
- 内存泄漏与日志堆积：客户端软件在处理高并发 UDP/QUIC 流量时存在内存释放不及时缺陷。
在这一技术指标上，Quantumult X 凭借极致的代码精简，在载入相同规则时内存占用通常仅为 10MB18MB；而 Stash 由于集成了完整的 Mihomo (Clash Meta) Go 语言内核，内存基线相对偏高（约 25MB35MB），在极端庞大规则集下爆内存风险高于圈X。
3. 为什么不同客户端在后台运行时电量消耗差异显著？（On-Demand 按需连接机制）
许多用户误以为开启 VPN 图标后，手机的每一分电量都在被代理客户端消耗。实际上，电量的真实消耗取决于 On-Demand（按需连接） 机制与 后台 Keep-Alive 探针 的配置。
iOS 的 On-Demand 机制允许网络扩展在系统没有网络请求时进入休眠状态（Sleep State）。当客户端关闭了频繁的后台节点测速（url-test）并开启了 lazy: true 懒测速后，网络扩展的 CPU 占用率接近 0%，对电池续航的影响微乎其微。
iOS Jetsam 内存监控机制与扩展闪退的深层技术机理
在 iOS 操作系统内核中，负责管理系统内存资源的核心组件被称为 Jetsam（内存防爆守护进程）。为了保证 iPhone 在后台多任务切换时依然拥有极其流畅的图形界面体验，苹果给每一个运行在后台的 Network Extension 进程设定了极为苛刻的动态内存阈值（Memory Limit）。
当系统的物理内存资源紧张时，Jetsam 会优先杀掉内存占用过大的后台扩展进程。在扩展进程运行过程中，如果内存占用瞬间突破 50MB 阈值，内核会在微秒级时间内发出 SIGKILL 信号将扩展进程终止，并不会给扩展进程留出任何释放内存的缓冲时间。
这就是为什么许多用户在导入了含有数十万条规则的第三方“全量防广告规则库”后，代理开关一开启就瞬间断开的原因。规则表在被加载到内存并构建树状索引（如 Trie 树或 Radix 树）的过程中，树节点的指针和内存占用会成倍激增。
在这一方面，Quantumult X 采用了精心设计的 C 语言紧凑型数据结构，其规则树的节点内存占用极小；而 Stash 由于继承了 Clash Meta 引擎，采用了基于 Go 语言的内存映射结构，由于 Go 语言垃圾回收器（GC）存在一定的内存释放滞后性，在极端庞大规则集下的峰值内存更容易触及 50MB 红线。
三、 四大 iOS 客户端核心功能与引擎特性全方位深度拆解
1. Shadowrocket（小火箭）：简单易用、全协议兼容与低成本王者
Shadowrocket 绝对是 iOS 科学上网生态中的“国民级应用”。
核心亮点
- 协议覆盖最全：第一时间跟进社区最新加密协议。目前完美支持 Shadowsocks、Shadowsocks-2022、VMess、VLESS（含 Vision/REALITY）、Trojan、Hysteria 1/2、TUIC v5、WireGuard、Snell、SOCKS5 及 HTTP/2。
- 交互极简：支持扫码导入订阅、剪贴板一键导入、按地区自动分组以及批量延迟测速。
- 性价比极高：外区 App Store 仅售 2 .99，一次购买，同 Apple ID 账号下无限台 iOS/iPadOS 设备免费安装。
不足之处
- 界面视觉相对传统；在高级 JavaScript 脚本重写和复杂流媒体规则嵌套方面，灵活度略逊于 Quantumult X 和 Loon。
2. Quantumult X（圈X）：极致性能、轻量高效与强大重写（Rewrite）脚本引擎
Quantumult X 被公认为 iOS 平台上最具极客属性的代理神器。
核心亮点
- 极致性能与超低内存：代码经过高度优化，运行极其流畅，几乎不会因为内存超标引发闪退。
- 神级重写与脚本（Rewrite & Script）：支持基于 JavaScript 的本地与远程脚本扩展。玩家可以通过脚本实现强大的自动签到、去除软件内置开屏广告、解密请求头以及动态修改数据包 Payload。
- 灵活的分流策略：支持
filter_remote动态远程规则引用以及自定义策略节点链。
不足之处
- UI 交互逻辑较为独特，对于新手用户而言存在陡峭的学习曲线；新协议（如 Hysteria 2）的跟进速度偶尔略慢于小火箭。
3. Loon：现代化可视化 UI、模块化插件（Plugin）与无缝配置体验
Loon 是近年来口碑飙升的现代化代理客户端。
核心亮点
- 优雅的可视化界面：拥有四大客户端中最为现代、美观的交互设计，支持节点地图分布、直观的策略组树状图展示。
- 首创模块化插件系统（Plugin）：Loon 颠覆了传统的复杂配置模式。它将“规则 + 重写 + 脚本 + 图标”打包为一个
.plugin插件文件。用户只需点击链接即可一键挂载去除广告、破解特定软件或拓展功能，无需手动复制黏贴代码。 - 全面的协议与 WireGuard 原生支持。
不足之处
- 售价为 5 .99，略高于小火箭和 Stash。
4. Stash：iOS 平台最完美的 Clash 移植版，规则集与 Meta 内核原生兼容
Stash 是一款专为 Clash 用户打造的代理客户端。
核心亮点
- Clash 生态无缝无感迁移：底层直接继承了 Clash / Mihomo 的核心逻辑。用户可以直接将桌面端（Windows/Mac）的 Clash YAML 订阅链接复制到 Stash 中使用，无需任何格式转换。
- 原生支持 Rule-Provider 与 Proxy-Provider：支持按需按规则集动态加载远程规则，极大地精简了主配置文件的体积。
- 丰富的可视化面板（Dashboard）：提供实时流量图表、活跃连接套接字审计、DNS 查询日志以及策略组快速切换面板。
不足之处
- 由于基于 Go 语言内核封装，初始内存开销略高于圈X，导入极端庞大的规则库时需注意内存配额。
四大客户端渲染引擎与脚本运行时对比
除了底层代理引擎外，四款客户端在 GUI 界面渲染与脚本运行时（Script Runtime）上的选型也直接影响着用户的使用体验：
- Shadowrocket：采用了纯 Objective-C/Swift 编写的经典 UIKit 架构，占用资源极小，滑动流畅，即使在 iPhone 8 等老款设备上也能毫秒级响应。
- Quantumult X：采用了极致自研的轻量级图形引擎与原生的 JavaScriptCore 框架，其脚本执行引擎经过了高度打磨，能够在极低 CPU 占用下高效处理复杂的数据包正则重写。
- Loon：全面拥抱了全新的 SwiftUI 与现代开发框架，界面视觉呈现出极强的层次感与细腻的动画过渡。其首创的 Plugin 插件机制在后台通过模块化沙盒加载，兼顾了极高的颜值与极佳的技术扩展性。
- Stash：针对 iOS 的触控特性重新设计了 Clash 控制台界面，集成了原生的 WebSocket 审计视图与策略组交互面板，为习惯于图形化大屏审计的用户提供了无可比拟的视觉掌控力。
四、 2026 最新协议支持情况对比：Hysteria 2、TUIC v5 与 VLESS-REALITY
随着防火墙（GFW）对传统 TLS 特征与长连接流量识别能力的提升，基于 UDP 的拥堵控制协议（如 Hysteria 2、TUIC v5）以及基于 TLS 指纹伪装的 VLESS-REALITY 成为 2026 年的主流加密技术。四大客户端对这些新协议的支持情况有着明显的代差。
graph TD A[加密代理协议分类] --> B[基于 UDP 拥堵控制协议] A --> C[基于 TLS 指纹伪装协议] B --> D[Hysteria 2: 专为高丢包弱网优化] B --> E[TUIC v5: 基于 QUIC 协议多路复用] C --> F[VLESS-REALITY: 借用真实网站证书伪装] C --> G[Shadowsocks-2022: 强对称加密防重放] D --> H[客户端支持: Shadowrocket / Stash / Loon 全面支持] F --> H1. 拥堵网络下的 UDP 加速协议：Hysteria 2 与 TUIC v5 在四款客户端中的实现差异
-
Hysteria 2（歇斯底里 2）：基于 QUIC 协议重构，采用了自主研发的 BBR 拥堵控制算法。在移动蜂窝网络丢包率高达 15%~30% 的恶劣环境下，Hysteria 2 能够强行拉满物理带宽，是晚高峰看 4K 视频的绝对神器。
-
Shadowrocket：原生支持，提供完整的端口跳跃（Port Hopping）与混淆（Obfs）配置。
-
Stash：通过 Mihomo 内核集成，原生支持 Hysteria 2 配置。
-
Loon：最新版本已完成全量原生支持。
-
Quantumult X：由于其内核架构限制，目前对 Hysteria 2 的支持需要依赖特定的中转转换。
-
TUIC v5：基于 QUIC 的低延迟代理协议，在保持高并发的同时具有极低的握手延迟。Shadowrocket、Stash 与 Loon 均已实现完美兼容。
2. TLS 伪装协议：VLESS-REALITY 在各客户端中的配置难度与握手开销
VLESS-REALITY 抛弃了传统的自签名 TLS 证书，转而直接借用合法的公网大厂网站证书（如 apple.com、microsoft.com）进行 SNI 握手伪装，从根本上消除了 TLS 证书指纹特征。
在配置 VLESS-REALITY 时，四大客户端均支持导入包含 public-key、short-id 和 spider-x 的节点链接。其中 Shadowrocket 和 Stash 的扫码解析成功率最高，能够自动填入所有隐藏的 REALITY 参数。
3. Shadowsocks-2022 架构与多报文防重放支持情况
Shadowsocks-2022 是 Shadowsocks 协议的重大架构升级，引入了严格的时间戳握手校验与多报文防重放（Replay Attack）攻击保护。四大客户端目前均已全面支持 2022-blake3-aes-128-gcm 与 2022-blake3-cha-cha20-poly1305 加密规格。
现代加密协议的技术演进与抗封锁能力对比
进入 2026 年，传统基于 Shadowsocks 或标准 VMess 的明文/单层 TLS 代理协议在面对深度报文检查（DPI）时已逐渐显露出特征泄漏的弊端。新一代加密协议在抗封锁与弱网加速两个维度上实现了重大突破：
- Hysteria 2 (歇斯底里 2)：摒弃了传统的 TCP 顺流阻塞控速逻辑，改用基于 UDP 的自定义 BBR 控速算法。它在丢包严重的移动蜂窝基站下能够主动探测可用带宽上限，通过拥堵抢占机制强行保障数据包的实时吞吐。目前 Shadowrocket、Stash 和 Loon 均实现了 Hysteria 2 的全功能原生支持。
- VLESS-REALITY：从协议层消除了自签名 TLS 证书的被动探测特征。REALITY 节点在被外界扫描时，会直接原样透传真实目标网站（如
apple.com）的合规证书与 TLS 握手，使防火墙完全无法判断该端口究竟是代理服务器还是正常的 CDN 节点。Shadowrocket 与 Stash 对 REALITY 的解析成功率和兼容稳定性最为卓越。 - TUIC v5：基于 QUIC 协议多路复用（Multiplexing），在一个 UDP 套接字管道内并发传输数百个独立的 HTTP 请求，极大地降低了多次建连握手的延迟。
五、 四大 iOS 客户端订阅导入与极速配置实战教程
1. Shadowrocket（小火箭）一键导入与自动更新设置
适用场景
小白用户极速开箱即用
操作步骤
- 打开外区 App Store，下载并安装 Shadowrocket。
- 打开机场官网控制台，点击“一键导入 Shadowrocket”；或者复制订阅 URL 地址。
- 打开小火箭，点击右上角
+号。 - 在类型（Type）中选择
Subscribe（订阅），在URL栏粘贴订阅地址，备注填写机场名称，点击右上方“保存”。 - 在首页下拉刷新列表，系统会自动拉取所有节点。
- 点击进入 设置 -> 订阅，勾选
打开时更新与自动更新，确保节点信息实时同步。 - 选定目标节点，开启顶部“未连接”总开关，在弹出的 iOS 系统提示中点击“允许”，输入 iPhone 解锁密码授权 VPN 配置即可。
2. Quantumult X（圈X）快捷引用资源（Filter Remote & Rewrite Remote）配置
适用场景
技术极客模块化分流与广告拦截
操作步骤
- 打开 Quantumult X，点击右下角“风车”图标进入设置菜单。
- 节点订阅：在
节点栏下点击引用（资源），点击右上角+，粘贴机场提供的 Quantumult X 订阅链接。 - 分流规则：在
分流栏下点击引用（资源），添加权威的远程规则集（如GeoIP、GeoSite或神机规则组）。 - 重写脚本：在
重写栏下点击引用（资源），粘贴远程重写规则链接（用于去广告或破解界面）。 - 回到主界面，长按右下角风车图标，可快捷切换
全部直连、全部代理或规则分流模式。
3. Loon 一键导入与节点规则插件化挂载
适用场景
追求高颜值与一键插件扩展
操作步骤
- 打开 Loon，点击底部导航栏的 配置 选项卡。
- 点击
订阅->节点订阅，点击右上角+粘贴订阅地址完成节点拉取。 - 插件挂载：点击底部 插件 选项卡，点击右上角
+按钮。 - 输入或粘贴远程
.plugin插件链接（例如“YouTube 去广告插件”或“流媒体解锁优化插件”）。 - 点击保存，Loon 会自动将插件中的分流规则、MITM 域名和脚本整合到当前主配置中，无需人工修改代码。
4. Stash 导入 Clash YAML 订阅与代理组覆写
适用场景
Clash 桌面端用户无缝迁移
操作步骤
- 打开 Stash，进入 设置 -> 配置文件 页面。
- 点击右上角
+号，选择从 URL 下载配置文件。 - 粘贴机场提供的 Clash 标准订阅链接（YAML 格式），点击下载。
- 下载完成后，在列表中勾选激活该配置文件。
- 回到 Stash 首页，进入“策略组”控制卡片，可以直接看到与桌面端 Clash 一模一样的组网结构（如
节点选择、自动选择、国外媒体），点击即可自由切换。
六、 iOS 代理客户端多维性能与技术指标对比全景表
下表对 iPhone iOS 平台四大代理客户端进行了全方位的技术规格与性能指标对比：
| 对比维度 | Shadowrocket (小火箭) | Quantumult X (圈X) | Loon | Stash (Clash for iOS) |
|---|---|---|---|---|
| App Store 参考售价 | 2 .99 (性价比最高) | 7 .99 | 5 .99 | 3 .99 |
| 底层内核引擎 | 自研开源封装 | 纯 C/Swift 优化引擎 | 高性能自研网络引擎 | Mihomo (Clash Meta) 内核 |
| 协议全面度 | 极高 (含所有最新协议) | 中等 (需要特定配置) | 高 (跟进迅速) | 极高 (原生 Meta 协议支持) |
| Hysteria 2 / REALITY | 原生完备支持 | 仅部分支持 / 配置繁琐 | 原生完备支持 | 原生完备支持 |
| 内存占用 (Memory Usage) | 15MB ~ 25MB (良好) | 8MB ~ 15MB (极致低消耗) | 12MB ~ 22MB (优秀) | 25MB ~ 35MB (偏高需控规则) |
| UI 设计与视觉体验 | 实用传统 | 独特硬核 | 极其现代美观 | 丰富图表仪表盘 |
| 扩展脚本能力 | 基本脚本支持 | 神级 JS 重写扩展 | 模块化 Plugin 插件 | Script / Merge 合并配置 |
| Clash 配置兼容性 | 需要转换导入 | 需要转换导入 | 需要转换导入 | 100% 原生直接加载 |
| 学习与配置门槛 | 极低 (小白零门槛) | 极高 (适合折腾极客) | 低 (插件一键挂载) | 低 (懂 Clash 即可上手) |
| 最佳推荐适用人群 | 90% 新手 / 追求性价比用户 | 技术极客 / 去广告脚本党 | 追求 UI 颜值与极简插件用户 | 桌面端 Clash 重度依赖用户 |
七、 HTTPS 解密 (MITM) 与本地根证书安装避坑指南
无论是需要使用软件去广告、修改应用 Request/Response 头，还是使用特定的高级脚本，都必须开启 MITM（Man-in-the-Middle 中间人攻击解密）。
1. 为什么广告拦截和脚本重写必须开启 MITM HTTPS 解密？
在现代互联网中，99% 的 Web 流量都经过了 TLS/SSL 加密（HTTPS）。对于加密的数据包，代理客户端在没有解密私钥的情况下，只能看到目标的域名和 IP 地址，根本无法查看或修改 HTTP 报文内部的 Header、Cookie 或 Body 内容。
开启 MITM 后，代理客户端会在 iOS 本地建立一个代理 CA 证书颁发机构。当应用发起 HTTPS 请求时，客户端拦截该请求并用本地 CA 动态生成一个伪造的 TLS 证书与应用完成握手，从而解密出明文 HTTP 数据包，实施广告过滤或脚本修改，随后再重新加密发给目标服务器。
2. iOS 17/18/2026 系统下 CA 根证书生成、描述文件安装与“完全信任”双重操作
在 iOS 17、iOS 18 及更新系统中，Apple 对本地 CA 证书的信任链设置了极其严苛的防护。只安装描述文件是完全无效的，必须完成以下双重授权步骤：
[第一步: 客户端内生成 CA 证书] | v[第二步: 导出并安装 iOS 描述文件] -> 前往“设置 -> 已下载描述文件”点击安装 | v[第三步: 必须手动开启“完全信任”] -> 前往“设置 -> 通用 -> 关于本机 -> 证书信任设置” | v开启该 CA 证书的“完全信任”开关 🟢 (若不开启，所有 HTTPS 请求抛出 Trust Error)完整操作路径
- 生成与下载：在 Shadowrocket / Quantumult X / Loon / Stash 的配置页面中，找到
MITM或证书管理选项，点击生成新 CA 证书，随后点击安装证书到系统。系统会弹出提示，点击“允许”下载描述文件。 - 安装描述文件：打开 iPhone 的 设置，在最上方会出现 已下载的描述文件 菜单（或前往
通用 -> 描述文件与设备管理），点击进入并点击右上角安装，输入锁屏密码确认。 - 启用完全信任（关键死穴）：打开 iPhone 设置 -> 通用 -> 关于本机，滑动到最底部点击 证书信任设置。在“针对根证书启用完全信任”列表中，找到刚刚安装的代理 CA 证书名称，手动将右侧的开关切换为绿色开启状态，并在弹出的警告中点击“继续”。
3. MITM 避坑：网银、微信支付及 Apple 服务的解密域名排除白名单
如果盲目对所有域名开启 MITM 解密，会导致严重的副作用：
- 微信支付、支付宝、各家银行 App 提示网络连接安全错误无法打开（因为这些金融应用开启了 SSL Pinning 证书绑定）；
- Apple App Store、iCloud、Push 推送通知中断；
- 手机连接公共 Wi-Fi 认证页面无法弹出。
解决方案
在 MITM 配置文件中，绝对不能设置通配符 * 解密。必须在解密白名单（hostname 或 skip-server-cert-verify）中强行排除以下安全与系统域名：
*.apple.com, *.icloud.com, *.mzstatic.com, *.alipay.com, *.tenpay.com, *.wechat.com, *.bank*。
MITM HTTPS 解密与证书信任链的安全防线
在开启 MITM（中间人解密）功能时，用户本质上是在自己的 iPhone 本地建立了一个私有的“微型 CA 证书颁发机构”。
其完整的解密与安全防线机制如下：
- 当 Safari 试图访问
https://example.com时，代理扩展拦截该请求，并拦截目标服务器的真实证书。 - 代理扩展使用本地生成的私有 CA 根证书，动态签发一张针对
example.com的伪造证书，并将其提供给 Safari 浏览器。 - 如果用户在系统“证书信任设置”中开启了对该私有 CA 的完全信任，Safari 会认为该伪造证书合法，从而顺利建立 TLS 握手并解密出明文 HTTP 报文。
- 代理扩展在明文报文中执行广告过滤或脚本重写后，再通过真实的 TLS 管道与目标服务器通信。
这一机制带来了强大的去广告能力，但同时也带来了潜在的安全风险：如果用户将本地生成的 CA 根证书私钥泄漏，或者使用了第三方提供的未经审查的未知根证书，恶意者可能利用该证书截获用户的隐私数据。因此，强烈建议永远在客户端内本地生成独一无二的全新 CA 证书，绝对不要导入任何来自互联网上的公开 CA 证书。
八、 真实场景故障诊断与排查案例实战
案例一：Shadowrocket 开启后蜂窝网络频繁闪退（NEPacketTunnel 爆内存排查）
问题现象
用户在 iPhone 13 上使用 Shadowrocket，在使用 Wi-Fi 时一切正常。但切到 5G 蜂窝移动网络后，使用几分钟状态栏上的 VPN 图标就会瞬间消失并自动断网。
环境信息
- 操作系统：iOS 17.4
- 客户端：Shadowrocket v2.2.35
- 订阅特征：导入了 3 个机场订阅，节点总数高达 850 个，且开启了全量规则测试。
初步判断
典型的是由于节点数量与规则集过于庞大，引发了 iOS NEPacketTunnelProvider 扩展进程的 50MB 内存溢出（OOM），被 iOS 内核 Jetsam 机制强杀。
排查路径
- 打开 iPhone 设置 -> 隐私与安全性 -> 分析与改进 -> 分析数据。
- 在日志列表中搜索带有
ShadowrocketExtension或JetsamEvent关键字的崩溃日志。 - 日志明确记录：
reason: per-process-limit，Memory used: 51.2 MB (Limit 50.0 MB)。
执行步骤
- 打开 Shadowrocket，进入 设置 -> 节点，开启
自动删除重复节点。 - 删除不常用的备用机场订阅，将内存中的活跃节点数量精简控制在 100 个以内。
- 在设置中关闭不必要的“按国家自动分组”等高内存消耗脚本。
结果验证
精简节点后重新开启小火箭，连续在 5G 蜂窝网络下播放 4K 视频 2 小时，扩展进程内存维持在 22MB 左右，闪退故障彻底消失。
复盘
不要盲目追求在客户端中堆积成百上千个无用节点。精简的节点与规则集是保证 iOS 代理长效稳定运行的关键。
案例二：Quantumult X 节点测速全部显示 Timeout，DNS 解析锁死与 dns_exclusion_list 修复
问题现象
用户在 Quantumult X 中导入订阅后，点击右下角风车刷新节点，组内所有节点无一例外全部显示 Timeout，但相同的订阅在电脑端却能正常连通。
环境信息
- 操作系统：iOS 17.2
- 客户端：Quantumult X v1.1.0
- 网络环境：运营商开启了严格的 UDP 53 端口拦截
初步判断
Quantumult X 内置的并发测速引擎在尝试解析节点域名时，系统默认的 DNS 服务器超时无响应，导致 DNS 模块挂起，无法获取节点真实 IP。
排查路径
- 进入 Quantumult X 设置 ->
DNS选项。 - 检查
dns_exclusion_list（DNS 排除列表）与server配置。 - 发现用户误将本地物理 DNS 删除，导致节点域名的 Bootstrap 解析失败。
执行步骤
编辑 Quantumult X 的主配置文件（配置文件 -> 编辑），修改 [dns] 节点段，添加可靠的本地纯 IP DNS：
[dns]server=223.5.5.5server=119.29.29.29server=1.1.1.1dns_exclusion_list=*.cmpassport.com, *.tenpay.com结果验证
保存配置后长按风车图标重载，再次点击节点测速，所有节点在 200ms 内亮起绿色响应数值，网络恢复正常。
复盘
网络扩展的 DNS Bootstrap 配置是所有代理客户端的命脉。始终保持存在可靠的物理 IP DNS 是防范测速超时的核心。
案例三：Loon 挂载多个第三方插件后提示 TLS 握手失败，MITM 证书链冲突排查
问题现象
用户在 Loon 中一键挂载了 5 个不同来源的第三方插件（包含去广告、脚本重写与解除区域限制插件）后，发现 Safari 浏览器在访问某些 HTTPS 网站时频繁弹出“无法验证服务器身份”或 TLS Handshake Fail 警告，且部分网页静态资源无法加载。
环境信息
- 操作系统：iOS 17.5
- 客户端：Loon v3.2.1
- 插件配置：同时挂载了多个包含自定义 MITM 域名的第三方插件。
初步判断
由于挂载的多个插件中，包含重叠或冲突的 MITM 解密域名（Hostname），或者某个插件强行启用了对开启了 SSL Pinning 证书绑定的关键域名的解密，导致本地 CA 证书在与目标网站通信时发生握手拒绝。
排查路径
- 打开 Loon 底部 日志 选项卡，查看最新的请求抓包记录。
- 搜索日志中高亮红色的
TLS Failure错误记录，定位触发报错的具体域名（例如*.apple.com或*.mybank.com）。 - 检查已挂载的插件列表，查看哪一个插件在
[MITM]块中包含了上述冲突域名。
关键证据
日志明确打印：[MITM] Handshake failed for hostname: init.itunes.apple.com due to SSL Pinning restriction。
执行步骤
- 打开 Loon 的 配置 -> MITM 界面。
- 在
Skip MITM（跳过解密）列表中加入发生冲突的域名（如*.apple.com,*.mybank.com）。 - 检查并关闭不必要的重叠插件，确保每个插件的规则职责明确。
结果验证
保存配置后，重启 Loon 代理开关并刷新 Safari 浏览器。报错警告瞬间消失，网页静态资源与视频顺利秒开。
复盘
插件（Plugin）虽然方便，但盲目堆砌多个来源不明的插件容易导致 MITM 域名冲突与证书绑定错误。保持插件数量精简并做好重要域名的 MITM 排除，是确保网络稳定的关键。
九、 选型决策树与故障诊断路径
面对复杂的客户端选择与疑难排查，遵循以下决策树能够帮你快速做出最佳选择：
[iOS 代理客户端选型决策树] | +------------------------------+------------------------------+ | | 【小白用户 / 追求性价比】 【进阶与高阶技术用户】 | | v v选 Shadowrocket (小火箭) 是否有 Clash 规则移植需求？- 售价 2 .99 极低 ├── 是 -> 选 Stash (Clash 原生兼容)- 协议跟进最快 (Hysteria 2 / REALITY) └── 否 -> 是否追求去广告与脚本重写？- 扫码即用免折腾 ├── 追求 UI 颜值/插件 -> 选 Loon └── 追求极致低内存/脚本 -> 选 Quantumult X十、 常见问题 FAQ
Q1: 这四款客户端在国区 App Store 能下载到吗？
完全不能下载。由于中国大陆的网络监管政策法规限制，所有具备网络代理、VPN 与网络包重写拦截功能的 App 均已从中国区（Mainland China）App Store 顺次下架。用户如果想要购买和下载这四款软件，必须提前准备一个外区（例如美区 US、港区 HK、台区 TW 或日区 JP）的 Apple ID 账号。在 iPhone 的 App Store 中退出当前国区账号，登录外区 Apple ID 账号后，即可在搜索栏中搜索并付费下载。 完全不能。由于中国大陆监管政策限制，所有网络代理类 App 均已从国区 App Store 下架。用户必须准备一个外区（如美区、港区、台区或日区）的 Apple ID，并在系统 App Store 中切换账号后付费下载。
Q2: 为什么我的小火箭（Shadowrocket）连接后状态栏没有显示“VPN”图标？
在 iOS 16 及后续系统版本（包括 iOS 17 和 iOS 18）中，苹果对 iPhone 顶部的状态栏视觉显示进行了全新重构。当代理开启后，只有在展开“控制中心”页面时才能在左上角看到“VPN”小标记，而在常规主界面顶部状态栏中，系统会根据当前是否有活动流量自动隐藏 VPN 图标。这是 iOS 系统本身的正常 UI 视觉优化，绝非小火箭软件损坏或代理断开，只要网页能顺畅打开即代表代理处于正常运行状态。 在 iOS 16 及后续系统版本中，Apple 优化了顶部状态栏的图标显示。当开启代理后，控制中心展开时能看到“VPN”标记，但顶部状态栏可能会根据当前网络流量自动隐藏 VPN 图标，这属于系统正常视觉设计，不影响代理功能。
Q3: 这四款软件买哪个最划算？支持家庭共享（Family Sharing）吗？
从绝对购买价格和协议兼容性来看，Shadowrocket（售价仅 2 .99） 是性价比最高的绝对选择。这四款软件（Shadowrocket、Quantumult X、Loon、Stash）均完全支持 Apple 的“家庭共享（Family Sharing）”机制。只要你在外区创建一个主账号并购买了软件，把家人的 Apple ID 邀请加入同一个外区家庭组后，其他家庭成员的账号无需重复付款，可以直接在 App Store 的“已购项目”中免费下载安装。 从绝对价格来看，Shadowrocket（2 .99） 最划算。这四款软件均支持 Apple 的家庭共享功能。只要在同一个外区家庭组内，主账号购买后，其他家庭成员账号均可免费下载安装。
Q4: 什么是 Hysteria 2 协议？哪款客户端对它的支持最好？
Hysteria 2 是基于 QUIC 协议构建的下一代高吞吐加密代理协议，专门解决移动蜂窝网络（5G/4G）在晚高峰时段丢包严重、网页响应卡顿的问题。它采用了自主研发的拥堵控制算法，在丢包率高达 30% 的恶劣弱网下依然能拉满物理带宽。目前 Shadowrocket（小火箭）、Stash 和 Loon 对 Hysteria 2 的原生支持最为完善，提供完整的端口跳跃（Port Hopping）与密码混淆配置。 Hysteria 2 是基于 QUIC 协议构建的下一代高吞吐加密协议，专门解决移动蜂窝网络下的高丢包与弱网卡顿。目前 Shadowrocket、Stash 和 Loon 对 Hysteria 2 的支持最为完备且配置简单。
Q5: 为什么开启代理后，使用微信支付或支付宝会提示网络安全异常？
这是因为你在客户端中开启了 MITM（HTTPS 解密）功能，且解密主机名（Hostname）列表中误将腾讯或支付宝的金融安全域名包含了进去。微信与支付宝等金融 App 启用了严格的 SSL Pinning（证书绑定）校验，当发现代理客户端试图用本地私有 CA 证书解密其数据包时，就会触发防劫持警告。解决方法：在客户端的 MITM 排除列表（Skip-Server-Cert-Verify / Hostname）中强行添加 *.tenpay.com、*.alipay.com 和 *.wechat.com 即可恢复正常。
这是因为你开启了 MITM（HTTPS 解密），且解密域名列表中误将腾讯或支付宝的域名包含了进去。解决方法：在客户端的 MITM 排除列表（Skip-Server-Cert-Verify / Hostname）中加入 *.tenpay.com、*.alipay.com 和 *.wechat.com。
Q6: Quantumult X 和 Shadowrocket 哪个更省电？
在维持相同代理节点和不开启频繁并发后台测速的前提下，Quantumult X 凭借其纯 C/Swift 编写的精简内核与低至 8MB~15MB 的极小内存开销，其后台 CPU 占用率与内存吞吐开销略低于小火箭，因此在长期的后台挂载测试中相对更加省电。不过如果开启了按需连接（On-Demand）与懒测速（lazy: true），两者的日常电量消耗差距并不显著。
在相同节点与无并发测速的前提下，Quantumult X 凭借极高的代码优化与超低的内存占用，后台运行时的 CPU 占用率更低，因此在理论与实际测试中相对更加省电。
Q7: 为什么 Stash 导入配置文件后，有时会提示“配置文件解析失败”？
Stash 原生继承了标准 Clash YAML 的配置语法规范。如果导入时抛出解析失败错误，通常原因有三：1. 机场返回的订阅内容是 v2rayN 纯文本或 Base64 格式而非标准的 Clash YAML 格式；2. 配置文件中包含了不兼容的特殊控制字符或缩进格式错误；3. 自定义规则集中包含了 Stash 暂不支持的高阶语法。解决办法是在机场官网选择“导入 Clash 订阅”，或者使用标准的订阅转换工具（Subconverter）转换为标准 Clash 链接后再行导入。 Stash 严格遵循标准的 Clash YAML 语法。如果导入失败，通常是因为订阅链接返回的内容包含了不兼容的特殊字符、包含语法错误的自定义规则，或者机场返回的是 v2rayN 格式而非 Clash YAML 格式。
Q8: iOS 上的节点延迟测试结果（ms）代表什么？
界面上显示的延迟数值指的是代理客户端的 Network Extension 扩展进程通过该代理节点，向预设的测速探针 URL（如 http://www.gstatic.com/generate_204）发起 HTTP GET 请求并成功接收到 204 响应的完整应用层往返时间（HTTP RTT）。它不仅包含客户端到节点的网络传输耗时，还叠加了 DNS 域名解析耗时与 TLS 密钥协商开销，能够真实反映网页和视频的实际加载速度，而非简单的物理 ICMP Ping 延迟。
界面上显示的延迟数值指的是代理客户端通过该节点向目标测速探针（如 http://www.gstatic.com/generate_204）发起 HTTP 请求并收到响应的完整往返时间（HTTP RTT）。它反映的是真实的 Web 业务加载延迟，而非简单的物理 ICMP Ping 延迟。
Q9: 简单的说，强烈建议开启。按需连接（On-Demand）是 iOS 系统级的后台守护机制。开启该功能后，iOS 操作系统会在 Wi-Fi 与 5G 蜂窝移动网络之间切换，或者手机从休眠中唤醒时，自动保持 Network Extension 代理扩展的挂载响应状态。用户无需每次解锁手机都手动打开客户端点击连接开关，真正实现无感、持续的科学上网。
强烈建议开启。开启 On-Demand 后，iOS 系统会在 Wi-Fi 或移动网络发生切换时，自动维持网络扩展的后台挂载状态，无需用户每次手动打开 App 重新点击开关。
Q10: 为什么开启代理后，访问国内网站（如百度、淘宝）速度反而变慢了？
这通常是因为分流规则配置出现偏差，导致国内网站的流量绕过了本地直连（DIRECT），被错误地分配到了海外代理节点中转传输。海外节点绕路不仅增加了几百毫秒的往返延迟，还可能触发国内网站的异地 IP 安全验证。解决方法：检查客户端是否设置在“规则模式（Rule Mode）”，并在配置文件中及时更新最新的 CN (GeoIP) 与 GeoSite 国内域名直连规则集。 这通常是因为分流规则配置不当，导致国内网站的流量被误分配到了海外代理节点绕路传输。请检查客户端是否开启了“规则模式（Rule / Config）”，并确认 GeoIP 与 CN 规则集已正常更新。
Q11: Loon 的插件（Plugin）和 Quantumult X 的重写（Rewrite）有什么区别？
重写（Rewrite）是 Quantumult X 中用于修改 URL 或注入脚本的代码段；而 Loon 的插件（Plugin）是一种更高的封装形式，它将分流规则、重写代码、MITM 域名和定时任务打包为单个 .plugin 文件，用户只需点击一下即可安装，无需手动复制代码。
Q12: 为什么小火箭开启节点后，显示已连接却依然无法上网？
请检查：1. 机场节点是否已经到期或流量超额；2. 是否误开启了全局代理且节点不可用；3. 系统的 DNS 模块是否卡死，可尝试在小火箭设置中重置 DNS 为 223.5.5.5。
Q13: Stash 支持使用 Clash 的脚本（Script）和重写功能吗？
支持。Stash 完美兼容了 Clash Meta 内核的脚本扩展语法，同时支持自定义 Override 覆写规则，可以在不破坏原始订阅的前提下强行注入用户自己的策略组。
Q14: 为什么更换了 iPhone 新手机后，旧手机上购买的 Shadowrocket 提示需要重新付款？
请确认新手机的 App Store 中登录的账号是否为当年购买该软件的那个外区 Apple ID。必须在 App Store 中切换到已购账号，在“已购项目（Purchased）”列表中点击云朵图标下载，绝对不要在设置主界面混淆账号。
Q15: 四大客户端支持 WireGuard 原生协议吗？
四款客户端目前均已原生支持 WireGuard 协议配置。其中 Shadowrocket 和 Loon 提供了最为直观的 .conf 配置文件导入与二维码扫描功能。
Q16: 什么是 VLESS-REALITY 协议？它在 iOS 上的优势是什么？
VLESS-REALITY 是一种借用公网合法网站（如 Apple/Microsoft）TLS 证书进行指纹伪装的代理协议。它不需要自建域名和申请证书，在 iOS 上具有极高的连接稳定性和抗封锁能力。Shadowrocket 和 Stash 对其支持最佳。
Q17: 为什么小火箭里的“UDP 转发”开关需要开启？
开启 UDP 转发后，实时语音通话（如 Discord / Telegram 语音）、竞技游戏（如 PUBGM、王者荣耀外服）以及基于 QUIC 协议的 HTTP/3 流量才能顺畅通过代理转发。建议始终保持 UDP 转发处于开启状态。
Q18: Quantumult X 如何一键更新所有的远程分流规则与节点？
在 Quantumult X 主界面，长按右下角“风车”图标，在弹出的快捷快捷菜单中选择“全部更新”，系统会并发拉取并更新所有远程 Filter、Rewrite 和节点订阅。
Q19: 为什么在 iOS 17/18 上安装了代理 CA 证书后，依然提示证书不安全？
因为你仅仅完成了描述文件的安装，没有在系统深处启用“完全信任”。必须前往 iPhone 设置 -> 通用 -> 关于本机 -> 证书信任设置，在列表中找到该 CA 证书并手动开启右侧的绿色开关。
Q20: 代理客户端在 iPad 或 M 芯片 Mac 上能通用吗？
可以。只要使用同一个购买过该 App 的外区 Apple ID，你可以直接在 iPadOS 设备以及搭载 M1/M2/M3/M4 芯片的 Apple Silicon Mac 上免额安装 Shadowrocket、Loon 或 Stash 的 iPad/Mac 版本。
Q21: 为什么小火箭首页节点列表里有些节点显示 0 ms？
显示 0 ms 说明该节点是一个本地虚拟节点（如 DIRECT 直连或 REJECT 拒绝），或者是探针在本地瞬间返回，并非真正的远程物理服务器响应延迟。
Q22: 如何防止代理客户端在后台被 iOS 系统误杀？
- 控制导入的节点与规则数量（建议节点数 < 200）；2. 在 iPhone 设置中开启该 App 的“后台 App 刷新”开关；3. 避免同时在后台运行几十个吃内存的重型游戏或 4K 渲染应用。
Q23: 什么是“跳过代理（Skip Proxy）”？哪些域名需要添加跳过？
跳过代理列表用于指定哪些流量绝对不经过 NetworkExtension 扩展处理。建议将局域网 IP（192.168.0.0/16、10.0.0.0/8）以及 Apple 核心推送服务（*push.apple.com）加入跳过代理列表。
Q24: 为什么开启 Loon 后访问某些网页提示 TLS Handshake Fail？
这通常是因为该目标网站开启了严格的证书绑定，而你对其启用了 MITM 解密。解决办法是在 Loon 的 MITM 配置中将该网站的域名加入 Skip MITM 排除列表。
Q25: 四大客户端支持自动按地区（香港、日本、美国）对节点分类吗？
Shadowrocket 提供了原生的一键“按地区分组”功能；Stash 可以通过 Clash 的 Proxy-Group 正则匹配实现自动分组；Loon 和 Quantumult X 则可以通过挂载远程分流脚本实现动态地区分组。
Q26: 为什么我的小火箭占用了几 GB 的 iPhone 存储空间？
这通常是因为开启了“详细日志记录（Verbose Logging）”或者下载了大量的抓包历史文件。解决办法：进入小火箭 设置 -> 数据，点击 清空日志 和 清空缓存 即可瞬间释放空间。
Q27: 代理客户端与系统自带的 Apple Private Relay（苹果隐私代理）冲突吗？
冲突。两者均依赖 iOS NetworkExtension 框架。建议在开启代理客户端时，前往 iPhone 设置 -> Apple ID -> iCloud 中临时关闭“私人代理（Private Relay）”。
Q28: 为什么 Quantumult X 的节点列表里节点名字都变成了乱码或特殊符号？
这通常是因为机场订阅返回的节点名称包含了特定编码格式的 Emoji 或非标准 Unicode 字符。圈X 内置了强烈的正则表达式过滤，可以在配置文件中调整 label 过滤规则。
Q29: 如何在 Stash 中一键切换全局模式、规则模式与直连模式？
在 Stash 首页顶部的控制卡片中，直接点击 Mode（模式）切换按钮，即可在 Rule（规则分流）、Global（全局代理）和 Direct（全局直连）三种模式间顺畅切换。
Q30: 为什么开启代理后打开 Netflix 提示“您似乎正在使用代理工具”？
说明你当前选中的代理节点 IP 被 Netflix 官方识别并列入了数据中心机房黑名单。这与客户端软件无关，只需在组内切换到支持“流媒体解锁”的原生住宅 IP 节点即可。
Q31: 小火箭支持像 Clash 一样使用配置文件合并（Merge）吗？
小火箭不支持 Clash 规格的 YAML Merge，但它支持使用自定义 .conf 配置文件。用户可以通过挂载远程 .conf 规则实现类似的配置覆盖效果。
Q32: 为什么开启代理后手机连接的车载 CarPlay 突然断开或无法投屏？
因为某些车机 CarPlay 依赖局域网 mDNS 解析与本地 UDP 组播流量。如果在客户端中没有对局域网流量设置 Bypass 绕过，CarPlay 流量会被误吸入 TUN 导致断连。请将 192.168.x.x 加入 Bypass。
Q33: Quantumult X 支持导入 Clash 的 YAML 订阅链接吗？
不支持直接原格式加载。必须通过订阅转换工具（Subconverter）将 Clash YAML 格式转换为 Quantumult X 专用的 Server 格式链接后方可导入。
Q34: 什么是“懒测速（Lazy Test）”？为什么建议开启它？
开启懒测速后，客户端只有在某个策略组真正产生网络请求时，才会发起 HTTP 探针测速；若策略组处于闲置状态则暂停后台测速。开启它能够显著节省手机电量与套餐流量。
Q35: 为什么手机热点分享给电脑后，电脑无法通过手机上的代理科学上网？
因为 iOS 系统默认的“个人热点”流量不会经过本机的 NetworkExtension 扩展处理。如果希望电脑共享代理，需在客户端中开启 Allow LAN（允许局域网），并在电脑端手动配置手机的局域网 IP 与代理端口。
Q36: Loon 的“脚本（Script）”功能能用来做自动化签到吗？
完全可以。Loon 支持定时 Cron 表达式脚本。用户可以挂载特定论坛或平台的签到脚本，设置在每天凌晨自动执行并弹出 iOS 本地通知。
Q37: 为什么小火箭的订阅更新提示 Download Failed？
请检查：1. 机场订阅地址是否被 GFW 污染阻断（可尝试开启代理后更新订阅）；2. 订阅 URL 是否拼写错误；3. 机场官网是否更换了新的订阅域名。
Q38: Stash 的 Dashboard 仪表盘功能怎么在电脑浏览器上打开？
Stash 内置了 Web 控制台。只要在 Stash 设置中开启 Controller API 并设置密钥，在同一局域网下的电脑浏览器中输入 http://<iPhone-IP>:9090 即可远程管理手机上的 Stash。
Q39: 客户端里的“TLS 允许不安全证书（Allow Insecure）”可以开启吗？
极其不建议开启。开启该开关意味着客户端将放弃对服务器 TLS 证书的安全性校验，极易遭受中间人攻击（MITM）并导致敏感账号密码泄露。
Q40: 2026 年最推荐新手入门的 iOS 科学上网组合是什么？
最推荐组合：一个美区 Apple ID + Shadowrocket（小火箭）+ 一个支持 Hysteria 2 / REALITY 协议的高质量专线机场订阅。兼顾极低入手成本、全协议覆盖与零门槛上手。
十一、 总结与 2026 iOS 科学上网客户端选型指南路线图
在 2026 年的现代 iOS 代理生态中，四大客户端各自占据着独特的生态生态位。选择的关键在于精准匹配你个人的真实使用场景与技术偏好：
[2026 iOS 客户端终极落地方案] | +--------------------------------+--------------------------------+ | | | v v v 【90% 用户的最佳首选】 【技术极客与去广告党】 【Clash 桌面生态迁移】 Shadowrocket Quantumult X / Loon Stash - 入手成本最低 (2 .99) - 强大的脚本重写能力 - Clash 规则原生兼容 - Hysteria 2 / REALITY 零秒跟进 - Loon 插件化一键挂载 - 完美的仪表盘控制台 - 扫码即用，极速上手 - 极致低内存运行稳定性 - 策略组逻辑完美继承通过深入透彻地理解 iOS NetworkExtension 架构限制、掌握 MITM 证书信任规则以及结合本文提供的选型对比全景表，你将能够挑选出最适合自己的 iPhone 科学上网利器，享受极致顺畅、稳定且无感的全场景网络体验。
2026 年现代 iOS 网络代理生态的长远规划建议
随着苹果 iOS 操作系统对隐私权限、后台进程内存监控以及证书安全机制的不断升级，用户在长期维护 iPhone 科学上网客户端时，建议遵循以下三大核心工程规范：
第一，建立“主备双客户端”容灾机制。由于不同客户端对特定加密协议（如 Hysteria 2、TUIC v5、REALITY）的更新节奏存在差异，建议用户主用 Shadowrocket 或 Stash 满足日常无感上网，同时在设备上安装 Quantumult X 或 Loon 作为备用调试工具。当某个客户端因为 iOS 系统大版本升级突发内存兼容性故障时，能够瞬间切换至备用客户端，保障网络连接不中断。
第二，恪守“本地私有 CA 证书”安全红线。在使用 MITM HTTPS 解密功能时，务必在客户端本地生成独一无二的全新 CA 证书，并严格按照系统的两步授权流程（描述文件安装 + 关于本机完全信任）进行配置。绝不要为了图省事而导入任何互联网公开流传的通用 CA 证书，确保个人银行、社交账号与隐私数据的绝对安全。
第三，保持规则集精简高效。定期清理不再使用的订阅节点与过期规则，将后台扩展进程的内存占用控制在 25MB 以内。通过将高效的物理节点、抗封锁的现代加密协议与精简的规则策略相结合，你将能够驾驭最强大的 iOS 代理工具，在极速吞吐与设备续航之间取得完美平衡。