一、什么是 Clash 配置「规则投毒」？

许多用户以为订阅链接只是一张包含服务器地址和密码的列表。但在 Clash 架构中，远程下载的 config.yaml 拥有对本机网络路由的最高解释权。

不怀好意的发布者可以在配置文件的 rules 区域增加如下规则：

- DOMAIN-SUFFIX,example-bank.com,PROXIES_ATTACKER

当用户访问该银行或敏感网站时，数据包不会走本地直连，而是被强制转发到攻击者设立的代理服务器，从而为中间人攻击（MITM）制造可能。

二、如何防范恶意订阅投毒？

  • 使用开源现代客户端：例如使用活跃维护的 Clash Verge Rev，其具备强大的订阅覆写（Script / Merge）功能。
  • 强制使用本地 DNS：在设置中勾选覆盖订阅内的 DNS，强制使用 Cloudflare (1.1.1.1) 或阿里 DNS (223.5.5.5)。
  • 文本审计：将订阅链接直接在浏览器打开，先阅读其 yaml 结构是否有异常规则再导入客户端。