1. 为什么代理软件必须申请系统高级权限？
很多初次使用电脑的新手，在安装 Clash 并开启「系统代理」或「TUN 模式」时，看到 Windows 弹出 UAC 用户账户控制警告（需要管理员权限），或者杀毒软件弹出报警，心里往往会犯嘀咕：**「这软件会不会窃取我的银行卡密码？为什么要这么高的系统权限？」**
要回答这个问题，必须深入理解操作系统网络协议栈的工作原理。
普通应用程序（如微信、记事本）运行在用户态（User Mode），它们发送网络数据时，只能老老实实调用操作系统提供的 Socket API。
如果一个代理工具想要把这些数据包拦截下来、并打包加密发送到境外服务器，它只有两条合法路径：
1. **温和派：通过系统代理接口宣告自己是本地网关**（即系统代理）；
2. **强硬派：在内核层插入一张虚拟网卡，把所有数据流量全部截流**（即 TUN 模式）。
这两项操作都直接修改了操作系统的全局网络路由基础设施，操作系统为了防范恶意木马篡改网络，必然会要求用户显式授权管理员权限。
💡 管理员权限是用于安装驱动和修改路由表，开源软件的代码完全公开接受全球黑客审查，没有任何后门逻辑。
2. 系统代理（System Proxy）底层机制与局限性
系统代理是兼容性最好、权限要求最低的工作模式。
### 它的底层到底做了什么？
在 Windows 上，开启系统代理的操作本质上极其简单——它调用系统 WinINET API，向注册表写入了两行键值：
`HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings`
- `ProxyEnable = 1`
- `ProxyServer = 127.0.0.1:7890`
在 macOS 上，它相当于在终端中执行了：
`networksetup -setwebproxy "Wi-Fi" 127.0.0.1 7890`
### 系统代理的致命死角
**系统代理是一种「君子协定」！**
只有那些主动遵循系统代理设置的软件（主要是各类网页浏览器、Electron 架构桌面端），才会主动把流量交给 7890 端口。
而以下软件会彻底无视系统代理：
- **终端命令行工具**：Git、cURL、npm、pip、docker；
- **各类客户端网游**：Steam 游戏大作、APEX、CS2（走裸 UDP 协议，根本不懂 HTTP 代理）；
- **部分即时通讯软件**：Telegram（未手动配置代理时）。
这就解释了为什么开启系统代理后，浏览器能翻墙，但在 CMD 里执行 `git clone` 却依旧超时。
powershell
# PowerShell 查看 Windows 当前注册表系统代理状态
Get-ItemProperty -Path 'HKCU:SoftwareMicrosoftWindowsCurrentVersionInternet Settings' | Select-Object ProxyEnable, ProxyServer, AutoDetect3. TUN 虚拟网卡模式：全协议接管的工业级方案
为了解决命令行和游戏无法走代理的问题，**TUN 模式（TUN Interface）** 应运而生。
### Wintun / utun 的技术原理
1. **虚拟网卡创建**：在操作系统中虚拟出一张物理网卡（如 Windows 下基于 WireGuard 项目开源的高性能 `Wintun.dll` 驱动）；
2. **三层 IP 截获**：虚拟网卡工作在 OSI 模型的网络层（Layer 3），它不仅能接收 TCP、HTTP，还能无差别捕获 UDP、ICMP（Ping）报文；
3. **全局路由重写**：修改操作系统核心路由表，将默认网关（0.0.0.0/0）指向这张虚拟网卡。
此时，电脑上任何一个软件发送的任何一个字节，都会无条件流入 TUN 网卡，再由内核根据域名和 IP 决定是直连还是送往机场节点。
yaml
# 生产级 TUN 模式核心推荐配置
tun:
enable: true
stack: mixed # 可选 gvisor / mixed / system
dns-hijack:
- "tcp://any:53"
- "udp://any:53"
auto-route: true
auto-detect-interface: true 💡 在 Windows 上启用 TUN 模式通常需要先在 Verge 中安装「服务模式（Service Mode）」，这是为了以 LocalSystem 特权运行网卡路由管理守护进程。
4. 安全性大起底：代理能否解密我的 HTTPS 密码？
**结论先行：绝对不能！你的密码和隐私极其安全。**
### 为什么代理无法窃听你的银行卡与登录密码？
现代互联网 99% 的流量均运行在 **TLS/HTTPS** 之上。
当你在浏览器访问招商银行或 Google 时：
1. 浏览器与目标网站之间建立了端到端的非对称加密握手；
2. 即使所有的流量都经过 Clash 本地端口或境外机场节点，Clash 与机场能看到的仅仅是：
- 目标主机的域名（通过 TLS 握手时的 SNI 暴露，如 `bank.com`）；
- 数据包的大小和发送频率；
3. **整个 HTTP 请求的正文、密码、Cookie、Token，全部被包裹在强加密的对称密钥中**。对于中继节点来说，这些数据只是一串完全无法破解的随机乱码。
### 唯一能被破解的情况
只有当你**在操作系统中手动安装并信任了第三方伪造的 CA 根证书（Root Certificate）** 时，中间人攻击（MITM）才有可能发生。
而官方正版的 Clash 绝不包含、也绝不要求你安装任何根证书！
bash
# 在终端中验证 HTTPS 连接的端到端证书指纹完整性
openssl s_client -connect www.google.com:443 -servername www.google.com < /dev/null5. 权限滥用风险排查与假冒客户端防范
虽然开源内核本身安全无虞，但网络黑产针对小白的攻击手段层出不穷：
1. **搜索引擎李鬼广告**：在百度等搜索引擎搜索「Clash 下载」，排在前面的竞价广告常伪造官方页面，里面打包的 exe 文件植入了后门病毒；
2. **捆绑流氓推广与挖矿木马**：被篡改的客户端会在后台利用你的显卡算力挖矿，导致电脑发热卡顿；
3. **恶意代理节点窃听未加密流量**：部分不规范的小网站如果依旧使用 http:// 明文传输，恶意机场可以窥探其明文内容。
保护自己的唯一法则：**永远从正规 GitHub Releases 官方渠道获取程序，并搭配值得信赖的品牌专线服务商。**
💡 正规的 Clash Verge 安装包均带有官方开源作者的签名或校验码，下载后核对 SHA-256 即可辨别真伪。
6. 专家级权限管理法则
1. **日常优先系统代理**：如果不玩外服游戏、不用命令行拉代码，仅开系统代理即可，资源开销最小；
2. **需用 TUN 时再开启**：日常办公结束后关闭 TUN 模式，能减少多网卡争抢与系统休眠唤醒网络死锁概率；
3. **严禁随意信任任何提示「为了翻墙请安装此证书」的提示**，代理不需要解密证书！
❓ 常见疑问与排查步骤
360 或火绒提示「正在修改系统代理设置」，我该阻止还是允许？
必须点击「允许本次操作」或勾选「信任该程序」。这是杀毒软件在监控注册表代理键值的变更，如果阻止，Clash 就无法接管系统网络，导致虽然软件开启但浏览器依然无法翻墙。
开启 TUN 模式后，电脑发热严重是为什么？
TUN 模式需要虚拟网卡驱动对全系统每一个 IP 数据包进行解包重组。如果协议栈选成了纯 gvisor 模式且有海量并发（如迅雷/BT下载），会导致单核 CPU 负载上升。建议在配置中将 tun stack 修改为 mixed 或 system。
公司内网有监控软件，开启 Clash 会被发现吗？
在公司网络环境下，虽然公司深包检测（DPI）设备无法解密你的 HTTPS 加密内容，但它们可以通过出口路由看到你的电脑正在向特定的境外 IP 发送持续的大流量加密数据包。在严格内网审计的企业，建议避免在内网办公电脑上开启个人代理。
为什么关闭软件后，电脑经常提示「无法连接到代理服务器」？
这是因为软件被非正常退出（如直接拔电源、系统蓝屏或杀毒软件强杀），未能来得及将注册表 ProxyEnable 恢复为 0。前往 Windows 设置关闭代理开关，或重新打开 Clash 并正常退出即可恢复。
服务模式（Service Mode）和普通管理员运行有什么区别？
普通管理员运行只是当前进程获得了提权，注销登录后即失效；服务模式是将核心注册为 Windows NT 守护服务，开机在用户登录前就能在后台加载网卡驱动，稳定性更高且能实现开机即连。