一探团队代理配置助手

你要帮我检查并优化本机的 Clash Verge Rev（Mihomo 内核），实现：

1. 中国大陆网站与 IP 直连。
2. 海外网站继续使用现有代理组。
3. 连接代理服务器本身的流量直接到达服务器，避免再次进入自身代理。
4. 检查并修复 DNS 超时、分流前不必要的解析等待。
5. 让 ChatGPT、Codex 及相关认证、资源连接使用一致的代理策略。
6. 保留可离线执行的恢复方法。

规则数据使用：
https://github.com/Loyalsoldier/v2ray-rules-dat

我授权你检查本机状态、进行少量必要的网络探测，并修改当前订阅关联的 Rules 和 Extend Config 持久化扩展文件。

本轮不要自动应用配置、重载内核、重启应用或断开连接。完成文件修改和静态验证后，告诉我如何手动应用。我明确回复“已经应用，请验证”后，你再进行运行时检查。

---

## 一、执行范围与安全要求

### 允许执行

- 只读检查系统环境、Clash Verge、Mihomo、系统代理、TUN、DNS、路由及必要日志。
- 在内存中读取完成任务所需的节点字段和订阅关联关系。
- 进行少量、有超时限制的 DNS、HTTPS 和节点连通性探测。
- 修改当前订阅关联的 Rules 和 Extend Config 文件。
- 在实际修改前，为这两个文件创建带时间戳的备份。
- 创建简短的脱敏执行记录和离线恢复说明。

### 不允许执行

- 输出订阅链接、节点地址、密码、UUID、Token、密钥、证书私钥或完整代理配置。
- 输出完整日志、完整进程环境、认证文件或包含凭证的命令参数。
- 修改订阅原始 YAML、节点凭据、协议参数或代理组。
- 修改 TUN、IPv6、监听端口、系统代理、系统 DNS、防火墙或路由表。
- 切换当前节点、关闭现有连接、重启应用、重载内核或终止进程。
- 修改服务器、访问服务器面板或使用 SSH。
- 做大流量测速、长时间压测、模拟断网、睡眠或网络切换。
- 清理登录状态、Cookie、缓存或重置应用。

需要处理超出授权范围的问题时，只报告发现及建议，不顺手修改。

### 凭证处理

采用“允许输出字段白名单”，不要通过打印完整对象再遮盖敏感字段的方式脱敏。

节点用“节点 A／节点 B”等别名汇报；地址只在本机内存和必要配置文件中使用。不要把订阅链接或配置上传到在线转换、检测或分享网站。

备份及临时文件尽量限制为当前用户可读。无需备份完整订阅、认证文件或整个应用目录。

---

## 二、先检查环境，确认真正生效的配置来源

先识别：

- 操作系统及版本；
- Clash Verge Rev 和 Mihomo 版本；
- 应用与内核是否正在运行；
- 当前模式：规则、全局还是直连；
- 当前系统代理地址及监听状态；
- TUN 和 IPv6 状态；
- 当前网络接口和 DNS；
- 是否存在其他正在运行的代理客户端；
- 当前订阅、实际选中的代理组与节点。

Clash Verge 常见用户数据目录：

- macOS：
  `~/Library/Application Support/io.github.clash-verge-rev.clash-verge-rev/`
- Windows：
  `%APPDATA%\io.github.clash-verge-rev.clash-verge-rev\`

这些只是候选路径，不能直接假定。

结合应用配置目录、运行进程参数及实际文件确认路径。特别注意：

- 服务模式下，Mihomo 的 `-d`、`-f` 可能指向受保护的运行时副本。
- 运行时目录不等于用户持久化配置目录。
- 不要通过修改生成文件或服务目录来代替修改配置源。

在用户配置目录中：

1. 读取 `profiles.yaml`。
2. 找出 `current:` 指向的订阅。
3. 解析它关联的 Rules 和 Extend Config 文件。
4. 检查全局扩展、订阅扩展和脚本是否会覆盖这些内容。
5. 确认现有最终代理组及其实际名称，不假定叫 `Proxy`。
6. 确认现有规则是否已有明确的海外兜底。

控制 API 优先使用已经存在的本机 Unix socket、命名管道或受保护的本地接口；不要为诊断新开控制端口。

如果无法确定当前订阅、两个扩展文件、配置覆盖关系或最终代理组，停止修改并说明缺失证据。

如果当前处于全局或直连模式，说明规则模式的优化不会在该模式下按预期工作，但不要替我切换模式。

---

## 三、检查节点是否合理，不擅自改节点

检查必要字段：

- 节点地址、端口、协议是否完整；
- TLS、SNI、Reality 等字段是否存在明显缺失；
- 当前代理组是否引用存在的节点；
- 是否实际选中 Auto，还是手动选中某个节点；
- 多个节点是否共用同一服务器和出口；
- 已有连接是否把节点地址再次送进代理。

注意判断边界：

- TUIC 使用 UDP、VLESS 使用 TCP 时，可以使用同一个数字端口，不属于端口冲突。
- 跳过证书验证属于需要报告的问题，不代表一定是断流原因。
- 单次 TLS EOF、Broken pipe 或无效握手不能证明唯一根因。
- 系统代理和 TUN 同时开启，不能单凭这一点认定冲突。
- 不要将多个同服务器节点描述成独立线路或服务器级容灾。
- 不要仅凭节点探测失败，就修改 UUID、密码、SNI、Reality 公钥等字段。

如果节点明显无法使用，先报告，避免在节点不可用的情况下继续叠加 DNS 改动。

---

## 四、进行少量基准探测

在修改前，记录最小必要基准：

1. 当前代理路径访问：
   - 一个国内网站；
   - 一个海外网站；
   - `https://api.openai.com/v1/models`。
2. 通过已有 Mihomo DNS 查询接口，检查国内域名、OpenAI 域名的解析结果和耗时。
3. 如果 TUN 已开启且条件允许，对比：
   - 显式使用本机 HTTP 代理；
   - 不显式使用 HTTP 代理、由 TUN 接管。

每个请求设置合理超时，限制重试次数和流量。不要携带任何账号凭据。

解释结果时：

- OpenAI API 返回未认证 401，可以证明请求到达 HTTP 服务。
- ChatGPT 返回 403，需要区分 Cloudflare challenge 与其他拒绝。
- HTTPS 成功不代表登录正常，也不代表长时间 WebSocket 稳定。
- TUN 开启时，curl 不设置代理不等于物理网络直连。
- 不把 curl 的连接阶段耗时全部解释成密码学 TLS 握手耗时，其中可能包含代理建立连接和远端解析。

如果网络探测不可用，明确记录限制，不编造测试结果。

---

## 五、修改前备份并准备离线恢复

仅备份实际要修改的两个扩展文件：

- 当前订阅关联的 Rules 文件；
- 当前订阅关联的 Extend Config 文件。

备份名称包含时间戳，不覆盖旧备份。

记录修改前文件校验值，并准备本机离线恢复步骤：

1. 将两个备份复制回各自原路径。
2. 在 Clash Verge 中手动重新激活当前订阅。
3. 如当前版本没有该入口，再手动退出并重新打开应用。

恢复说明必须使用本机真实路径，并正确处理路径中的空格。不要提供依赖互联网才能恢复的方案。

不要自动执行恢复、重新激活或重启。

---

## 六、合并 Loyalsoldier Geo 数据源

在当前订阅关联的 Extend Config 中，保留无关内容，合并：

```yaml
geodata-mode: true
geo-auto-update: true
geo-update-interval: 24
geox-url:
  geoip: "https://github.com/Loyalsoldier/v2ray-rules-dat/releases/latest/download/geoip.dat"
  geosite: "https://github.com/Loyalsoldier/v2ray-rules-dat/releases/latest/download/geosite.dat"
```

要求：

- 已有 `geox-url` 时，只更新 `geoip` 和 `geosite`。
- 已有 `mmdb`、`asn` 等其他键原样保留，不额外添加。
- 不把 `rules:` 写入 Extend Config，避免数组覆盖订阅原有规则。
- 不在静态检查阶段触发长时间下载。
- 如果本地缺少所需 Geo 数据，明确说明完整内核验证或首次应用仍依赖下载成功，不能声称已经验证完成。

---

## 七、配置节点地址直连及分流规则

只在当前订阅关联的 Rules 文件中调整 `prepend:`。

保留原有 `prepend`、`append`、`delete` 内容，不重复添加相同规则。

### 1. 节点服务器地址直连

读取当前订阅实际使用的节点地址，去重后添加最高优先级直连规则：

- IPv4 字面地址：精确 `/32` 的 `IP-CIDR` 规则，并使用 `no-resolve`。
- IPv6 字面地址：精确 `/128` 的 `IP-CIDR6` 规则，并使用 `no-resolve`。
- 域名地址：优先使用精确 `DOMAIN` 规则，并检查其节点解析路径。

不要把整个服务商网段、整个国家或大型公共域名后缀设为直连。

不要把临时解析出来的动态节点 IP 永久写死。

如果存在链式代理、dialer-proxy 或其他明确依赖中转的配置，不盲目强制直连；先说明冲突并暂停该项修改。

### 2. OpenAI 相关域名提前匹配代理

将明确相关的域名规则放在中国 GEOIP 判断之前，指向当前实际使用的最终代理组，例如：

```text
DOMAIN-SUFFIX,openai.com,<实际代理组>
DOMAIN-SUFFIX,chatgpt.com,<实际代理组>
DOMAIN-SUFFIX,oaistatic.com,<实际代理组>
DOMAIN-SUFFIX,oaiusercontent.com,<实际代理组>
DOMAIN-SUFFIX,oaistatsig.com,<实际代理组>
```

依据当前 OpenAI 官方网络要求和本机实际请求，按需补充认证、验证及资源域名。

对于共享服务，尽量使用所需的精确主机名，不为了 ChatGPT 将整个 Cloudflare、Auth0 或其他大型平台全部强制代理。

不新增代理组，不擅自改变当前节点选择。

### 3. 国内直连

继续保留原任务要求：

```yaml
- GEOSITE,cn,DIRECT
- GEOIP,CN,DIRECT
```

目标优先级应等价于：

```text
[代理服务器地址精确直连]
[OpenAI 等明确相关域名 → 现有代理组]
GEOSITE,cn,DIRECT
GEOIP,CN,DIRECT
[其他已有扩展规则及订阅原有规则]
MATCH,<原有实际代理组>
```

不要删除订阅原有规则，也不要额外创建重复的 MATCH。

如果已有明确的拦截、访问控制或特殊分流与上述优先级冲突，先解释冲突，不自动绕过这些规则。

不要新增广告拦截、游戏加速等无关规则。

---

## 八、按证据优化 DNS

DNS 修改允许落在当前订阅关联的 Extend Config 中。

先检查实际生效 DNS、覆盖关系和探测结果，再决定最小改动；如果原配置健康，不强行替换成统一模板。

### 优化目标

- 国内域名使用当前网络下可达的国内解析器。
- 海外域名使用可靠的加密 DNS，并明确经过现有代理组。
- 节点自身的解析路径独立、可用，避免“先连代理才能解析代理地址”的循环。
- 不再依赖已证实超时的后备解析器。
- 保持现有 DNS 开关、Fake-IP 模式、IPv6 设置及无关配置。

### 可参考的结构

下面只是结构示意，不可原样复制占位符：

```yaml
dns:
  default-nameserver:
    - <已验证可达的启动解析器>

  proxy-server-nameserver:
    - <不依赖该代理即可使用的节点解析器>

  nameserver:
    - "https://<海外DoH地址>/dns-query#<实际代理组>"

  nameserver-policy:
    "geosite:cn":
      - <已验证可达的国内解析器>

  direct-nameserver:
    - <已验证可达的国内解析器>
```

### 注意事项

1. 先确认本机 Mihomo 版本支持所使用的字段和语法。
2. 使用当前官方文档核对 DNS 指定代理的语法；复杂代理组名称不能随意拼接。
3. 保留已有特殊域名、内网、企业 VPN 等必要解析策略。
4. 检查已有 `nameserver-policy` 是否会覆盖新方案；不要整段清空。
5. 如果某个 fallback 已证实不可达，替换它或在有可靠替代方案后清空该后备列表。
6. `fallback: []` 只用于明确需要清除继承项的情况，不能假定每台电脑都应该设置。
7. 不要默认给全部 GEOIP 规则添加 `no-resolve`，这可能改变国内 IP 直连覆盖范围。
8. 不要盲目打开 `respect-rules`，必须同时核对节点解析和 DNS 路由是否产生循环。
9. 不要只修改未启用的独立 DNS 设置文件，必须确认最终合并来源。
10. 若现有 DNS 未启用，或必须修改 TUN／系统网络才能实施，停止该部分并说明，不超出授权。

---

## 九、静态验证，不应用配置

完成修改后：

1. 校验两个 YAML 文件语法，检查重复键。
2. 对照备份，确认只修改授权内容。
3. 确认已有无关键、扩展规则和特殊 DNS 策略保留。
4. 确认所有代理组引用真实存在。
5. 确认节点直连规则、OpenAI 规则和国内直连规则的顺序。
6. 确认原始订阅、节点、代理组、TUN、IPv6、端口及系统设置未被修改。
7. 如果本机支持安全的 Mihomo 纯配置校验：
   - 使用临时候选文件；
   - 只执行配置检查模式；
   - 不启动第二个代理实例；
   - 不占用端口；
   - 不加载候选配置到正在运行的内核。
8. 如果不能准确复现 Clash 的合并结果，明确标为“YAML 校验通过，完整合并结果待应用后验证”，不要伪称内核验证通过。
9. 不输出候选配置全文；含敏感内容的临时文件要限制权限，并在不再需要时清理。

此时只能说“持久化文件已修改、尚未应用”，不能说“运行已生效”。

---

## 十、最终先给我应用前报告

简短汇报：

- 检查到的问题及证据；
- 哪些属于已确认，哪些只是可能；
- 修改了哪些文件、为什么修改；
- 备份和离线恢复方法；
- 静态校验结果及未验证项；
- 明确说明“尚未重载、尚未重启、尚未应用”。

然后提供手动应用步骤：

1. 保存正在进行的重要联网任务。
2. 先打开或保存离线恢复说明。
3. 在 Clash Verge 中手动重新激活当前订阅；如果版本不支持，再手动退出并重新打开应用。
4. 等待内核加载；首次 Geo 数据下载可能更久，不承诺固定十几秒完成。
5. 如果当前 Agent 对话断开，先等约 60 秒，不要反复退出登录或切换节点。
6. 如果仍未恢复，按离线步骤恢复两个扩展文件并手动重新激活订阅。
7. 网络恢复后，回复：“已经应用，请验证”。

不要替我执行这些应用或重启操作。

---

## 十一、我确认应用后，再进行运行时验证

收到“已经应用，请验证”后：

1. 重新读取实际运行配置和控制 API，确认新规则及 DNS 确实生效。
2. 确认当前节点、TUN、IPv6 和系统代理状态符合修改前记录。
3. 检查新建连接：
   - 代理服务器地址应走 DIRECT；
   - 国内网站应走 DIRECT；
   - OpenAI 相关域名应命中前置域名规则并走现有代理组；
   - 其他海外网站按照保留的规则和兜底策略走代理。
4. 检查 Geo 数据加载是否成功；必要时记录本地文件大小、时间及校验值。
   - 本地校验值仅用于记录和比较。
   - 没有可信的上游校验值时，不声称已经证明文件来源或完整性。
5. 重复少量 DNS、HTTPS 测试，与修改前比较。
6. TUN 已开启时，分别验证显式 HTTP 代理和纯 TUN 路径。
7. 注意旧连接可能仍保留修改前的路由：
   - 区分旧连接与新连接；
   - 不据此立即认定规则无效；
   - 不自动清空连接或中断当前任务。
8. 如果共享节点服务器仍存在异常，不直接认定来自这台电脑；本任务只验证本机。
9. 不进行协议切换、长任务压测、断网恢复、登录重置或服务器整改。

最终明确区分：

- 已确认生效；
- 测试通过；
- 仍有异常；
- 尚未验证。

不要承诺“以后绝不会断流或重新登录”。短连接测试只能证明当前基础链路及分流正常，长任务和网络恢复能力需要后续实际观察。