我去，原来 Loon 的加密插件能明文直接看用户密码，怎么办啊换哪个好

505s · 2026-11-01T01:19:58Z

看到最近热门的 Clash 发了一篇文章，讲了 MitM 的原理吓出我一身冷汗啊。 https://x.com/ClashbyClash/status/2116694703357964555 是不是开启了这个 MitM 的功能使用了加密脚本，就得有自己被攻击的心理准备啊。

加密

密码

mitm

36 replies • 2026-11-01 17:13:35 +08:00

1

505s

OP

8h 28m ago

这篇文章探讨了代理软件（如 Loon 、Surge 、Quantumult X 、Clash 等）中 **MITM （ HTTPS 解密）加密插件**带来的安全与信任风险，核心结论是：**看不见的代码，绝不能给它看你的明文流量。**

**文章核心总结**

* **最高权限与零透明度的矛盾：** 开启 HTTPS 解密并安装根证书后，MITM 插件中的脚本可以直接读取你的明文流量（含密码、Cookie 、Token ）、篡改网页响应，甚至利用内置 API 悄悄将数据外发。
* **加密插件（如 `.lpxe`）防君子不防小人：** 客户端本地必然存有解密逻辑，插件加密挡不住有逆向能力的人，却彻底剥夺了普通用户审查代码、排查恶意逻辑（尤其是特定条件下才触发的代码）以及跨软件迁移的权利。
* **自动更新放大供应链风险：** 一旦插件加密且支持远程自动更新，每次更新都相当于在完全盲盒的状态下重新授予最高网络权限，抓包也难以捕捉条件触发的偷跑流量。

**你该如何防范**

1. **拒绝加密 MITM 插件：** 绝不给任何加密、混淆或看不见源码的插件授予 HTTPS 解密权限。
2. **按需开关与证书管理：** 日常不需要去广告或重写功能时，直接关掉客户端的「 HTTPS 解密」总开关；在 iOS 「证书信任设置」中也可以随时关闭根证书信任。
3. **严格审查并排除敏感域名：** 检查已启用插件的 `hostname` 列表，警惕 `*` 通配符或与插件功能无关的域名；利用排除语法将银行、支付、邮箱、工作系统和 AI 服务永久排除在解密范围外。
4. **锁定本地明文副本：** 对必须使用的明文脚本，审查后保存为本地副本，避免直接使用远程订阅链接自动更新。
5. **保护根证书私钥：** 切勿分享包含 `ca-p12` 和 `ca-passphrase` 字段的配置文件。

**该用哪个软件**

* **首选推荐：[新版 Clash 客户端]( https://clash.md/zh/)（基于开源内核 [ProjectClash/Clash]( https://github.com/ProjectClash/Clash)）**
如果你看重代码可审计性与权限透明，文章推荐采用基于 mihomo 开源内核的新版 Clash 。它的核心优势在于客户端与内核代码开源可核对，「 HTTPS 解密」默认关闭，且会在 App 内以只读列表清晰展示所有已启用模块的解密域名范围，兼容导入主流明文模块。
* **如果继续使用 Surge / Quantumult X / Shadowrocket / Loon：**
这些软件本身都具备完善的代理与分流能力，只要**坚持只用明文脚本/重写规则**、彻底远离 `.lpxe` 等加密插件，并养成在不用时关闭 MITM 总开关的习惯，同样可以安全使用。

Gemini is Al and can make mistakes.

2

netox

8h 27m ago

明文脚本混淆下估计也可能还是有风险, 建议直接用 agent 审核每个要用的脚本:)

3

505s

OP

8h 26m ago

@netox 看来只能让 agent 自己写脚本自己用了，不敢去插件中心随便一键安装一大堆了。

4

infoscope

8h 12m ago via iPhone

自己抓包，丢给 AI 让 AI 写

5

netox

8h 10m ago

@505s 之前看过那些脚本, 因为有的引擎甚至还提供了 httpClient, 想想都觉得风险大的一 P; agent 自己写, 不用中转站, 风险还是小很多, 毕竟只是 js 脚本, api 和格式又限定, 没理由 agent 搞不定

6

SenLief

7h 53m ago

所有的 mitm 都可以吧，mitm 都拿到证书了。

7

darksword21

7h 51m ago

9

mitm 是 mitm ，插件加密是插件加密，你在这一惊一乍的干嘛呢

顺便，这人不是那个想装孙子当官方 clash 的傻逼吗，别转屎到 v2 啊

8

505s

OP

7h 41m ago

@darksword21 你这个语言挺猛啊。

也建议你读书后（无恶意攻你，去了解一下这个 mitm +插件能做的能力吧。

9

shuiduoduo

7h 30m ago via iPhone

和 loon 插件加密有啥关系你还不如直接怪苹果为什么允许信任三方证书任何一个 iOS 的代理软件都支持 mitm

10

shuiduoduo

7h 30m ago via iPhone

和你自己下载一个病毒软件中毒了怪系统

11

Ariver

7h 14m ago

6

不知道你是真不懂还是装不懂？
mitm 的目的就是这个啊。
这个软件作者不就是为了蹭流量吗？

12

505s

OP

7h 6m ago

所以三点核心问题都不看的吗？
-最高权限与零透明度的矛盾
-加密插件（如 `.lpxe`）防君子不防小人
-自动更新放大供应链风险
这才是问题关键吧，都开 MITM 了难道要把自己的所有请求都应该明文交给别人吗？

13

Neolin

7h 2m ago via iPhone

这软件作者本来就是硬蹭 Clash ，和原来的 Clash 没半点关系。还有看事情看全，可莉前脚因为不想让这人直接抄插件所以才加密的插件，这人后脚就写这个帖子，很难不让人怀疑他就是故意报复的

14

Neolin

7h 0m ago via iPhone

https://t.me/ibilibili/2213
补全一下上下文

15

darksword21

6h 53m ago

@505s #8 mitm 就是要看你明文啊怎么了，这不是你自己选的？插件加密那我也不敢用啊，但是他们俩就是分开的东西啊，你标题写的插件加密震惊贴，里面又写 mitm 惊出你一身冷汗，我说的也没问题啊，你是之前没了解过 mitm 能做的能力？

16

darksword21

6h 51m ago

@505s #8 而且这个傻逼就像楼上说的纯蹭流量的，已经是清朝时候的事了，你不仅要多读书也得多上上网啊

17

V2Try

6h 51m ago via iPhone

你 tm 在逗我，mitm 就是让它变成明文，要不然怎么抓包。

18

505s

OP

6h 43m ago

你们吵吧
我去找 AI 写脚本了

19

nagisavpn

6h 41m ago

不去广告就关了呗，这玩意还费电

20

rollingshmily

6h 38m ago

起因是垃圾人以“开放”的名义偷别人东西，给自己网站引流，不以为耻反以为荣，结果反而被人带起了 Loon 的节奏，我已经在论坛看到好几个帖子了实在是无语。Loon 方面也没有禁止使用开源插件吧，带什么节奏呢？使不使用加密插件纯属个人需要和自由，同时 loon 也在做加密插件的风险提示和安全加固，这些人又选择性不看了。