官方手册 · 术语查阅

Shadowrocket 术语手册

先辨认所在页面，再判断术语的作用范围。这里保留英文界面词与规则原文，按五类解释常见名词；需要连续操作步骤时，转到使用说明，遇到连接异常时查阅排查手册。

01 · 界面与开关

页面入口与连接姿态

界面词的大小写与所在位置都影响含义。尤其要区分 Config 页面、Global Routing 的 Config 姿态，以及规则中的大写策略。

Home: 查看服务器列表、选择当前服务器并控制连接的主要页面。列表中出现条目，只说明参数已经载入，不表示服务器可达；连接后仍应验证实际访问与规则匹配情况。

Global Routing: 决定整体流量处理姿态的设置，三种常见选项为配置（Config）、代理（Proxy）、直连（Direct）。排查前先确认当前选项，否则可能把整体姿态的影响误认为某条规则失效。

Config: 在页面名称中，Config 指配置文件管理区域；在 Global Routing 中，Config 表示按当前配置处理流量。进入 Config 页面与启用某份配置是两件事，导入文件后还需要确认实际使用的是哪一份。

Proxy / Direct: Global Routing 中的 Proxy、Direct 分别表示整体采用代理或直连姿态。它们与规则行末尾的大写 PROXY、DIRECT 不处于同一层级；整体采用 Direct 时，不能仅凭某条规则写着 PROXY 就判断流量一定经代理。

On Demand: 依据已配置的网络条件触发连接的机制，不是定时测速或自动挑选最快服务器。启用后应分别在常用 Wi-Fi、蜂窝网络及网络切换时验证；手动断开后又连接，也应检查相关触发条件。

Add Server: 手动填写用户已有服务器信息的入口，先选协议，再按表单填写 Address、Port 及认证字段。不同协议所需参数并不相同，不要因为字段名称相近就沿用另一种协议的填写方式。

02 · 协议

服务器参数对应的协议

协议名称用于确定连接与认证方式，不是速度等级。填写时以已有服务器提供的完整参数为准，不要仅凭协议名推断传输方式或 TLS 设置。

Shadowsocks: 使用约定加密方法与密码传输代理流量的协议。地址、端口、加密方法和密码必须与服务器一致；只更改显示名称不会修复认证失败，加密方法也不能按个人偏好任意选择。

VMess: 具有身份验证机制的代理协议，常以 UUID 作为身份参数之一。传输方式、Host、Path 和 TLS 等项目应分别核对，UUID 填对并不代表整个连接参数已经完整；部分认证过程也受设备时间准确性影响。

VLESS: 将身份识别与传输安全配置区分处理的代理协议，不能仅凭存在 UUID 就认定连接已经加密。需要同时核对服务器指定的传输与安全参数，VMess 的参数也不能直接视为可互换的 VLESS 参数。

Trojan: 通常结合 TLS 与密码认证的代理协议，常见核对项目包括 Address、Port、Password 和 SNI。服务器地址与证书使用的域名可能不同，出现证书错误时应检查名称与服务器配置，而不是直接关闭证书验证。

Hysteria2: 基于 QUIC 的代理协议，其连接情况受服务器设置以及当前网络对 UDP 的处理影响。认证信息、TLS 名称和其他参数需按服务器说明填写；协议名称本身不构成速度保证，超时也不一定是密码错误。

WireGuard: 使用公私钥建立加密隧道的协议，对端公钥与本地私钥的用途不同。核对时需要同时检查密钥对应关系、对端地址和路由参数；私钥属于敏感信息，提交排查材料时不应直接公开。

HTTP / SOCKS5: 两种常见代理协议类型，服务器可能另有用户名、密码或 TLS 要求。HTTP CONNECT 可用于建立隧道，但不意味着到代理服务器的连接本身已经启用 TLS；SOCKS5 也不能仅凭名称判断是否具有加密保护。

03 · 规则关键字

匹配条件与执行策略

一条规则通常先写匹配类型，再写条件与策略。规则顺序同样属于配置的一部分：先命中的宽泛规则可能使后面的精确规则不再参与判断。

[Rule]: 配置文件中的规则段，按顺序检查匹配条件并选择对应策略。规则不是服务器清单，也不会创建新的连接凭据；排查命中结果时，应同时核对当前配置、Global Routing 与规则先后顺序。

DOMAIN / DOMAIN-SUFFIX / DOMAIN-KEYWORD: DOMAIN 匹配完整域名，DOMAIN-SUFFIX 匹配指定域名及其子域，DOMAIN-KEYWORD 匹配域名中出现的关键字。条件通常填写域名而不是完整网页地址，不带协议头、页面路径或查询参数；关键字过短容易扩大匹配范围。

IP-CIDR / IP-CIDR6: 分别用于匹配 IPv4、IPv6 地址网段，斜杠后的前缀长度决定覆盖范围。例如 192.168.0.0/16 表示一个 IPv4 网段，而非单一主机；写规则前应确认目标流量实际使用的地址类型。

GEOIP: 根据地址数据库中的地域归类匹配目标 IP，不是判断设备所在地点。数据库记录可能与服务的实际部署或业务归属不同，因此 GEOIP 不适合替代所有精确域名规则；结果还可能受到解析地址变化的影响。

FINAL: 处理前序规则均未匹配的流量，通常位于规则段末尾。它不是在所有规则执行后再覆盖结果，而是提供最终去向；如果放得过早，后续规则就可能失去匹配机会。

PROXY / DIRECT / REJECT: 规则策略：PROXY 表示经代理策略转发，DIRECT 表示直接连接目标，REJECT 表示拒绝匹配请求。DIRECT 不等于绕过系统所有网络设置，REJECT 也不是单纯隐藏页面元素；是否命中仍取决于前面的匹配条件。

规则语法示例，不是应用界面

下面使用示例域名说明字段结构。实际使用前应按自己的访问需求审阅；FINAL,PROXY 会让未命中前序规则的流量采用 PROXY。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT
DOMAIN-SUFFIX,example.org,REJECT
FINAL,PROXY

04 · 订阅与配置

导入内容与恢复范围

先判断拿到的是单条服务器分享链接、服务器订阅，还是远程配置文件。三者即使都能通过链接或二维码传递，也不代表应使用相同入口。

订阅: 通过用户已有服务商提供的地址获取和更新服务器条目的方式，不等于购买客户端。订阅地址可能包含访问凭据，不应公开粘贴到截图或日志中；更新失败时，先区分地址访问失败、内容格式不符与订阅自身状态异常。

服务器: 承载代理连接的远端服务，也常被称为节点；列表中的一条记录通常包含协议、地址、端口与认证参数。显示名称只是便于识别的标签，改名不会改变服务器地址，也不会改变其实际可用性。

配置文件: 用于组织规则、DNS 与其他受支持设置的文本文件，与服务器订阅的主要用途不同。导入后需要确认是否已经启用；远程更新可能覆盖本地修改，调整前应保留可恢复副本，并理解其中每个启用段落的作用。

iCloud 同步: 在应用支持范围内通过 iCloud 同步数据，具体项目与入口以当前应用界面为准。它不等于包含全部系统授权与连接状态的完整备份；换机后需要确认配置是否存在、哪份正在使用，以及服务器凭据是否仍然有效。

已购项目: App Store 中查找既有购买记录并重新获取应用的入口，需使用当时完成购买的 Apple 账户。恢复应用与恢复配置是两项操作，重新获取 Shadowrocket 不代表服务器信息已经恢复；系统要求、家人共享及通用购买适用范围以 App Store 页面标注为准。

05 · DNS 与网络

解析、测试与连接安全

连接开关、域名解析、服务器认证和实际业务访问是不同检查环节。一个环节成功，只能说明该环节的条件满足，不能替代完整验证。

DNS: 把域名解析为 IP 地址等记录的机制，解析结果可能随网络与服务部署变化。能够解析不代表目标端口可达，服务器测试成功也不代表所有域名解析正常；排查时应把解析失败与后续连接失败分别记录。

DNS over HTTPS: 通过 HTTPS 传输 DNS 查询的方式，常缩写为 DoH。它保护的是相应解析请求的传输过程，不等于所有业务流量都经代理；配置的解析服务本身也必须可达，否则会在业务连接前出现等待或失败。

Connectivity Test / 延迟: Connectivity Test 用于检查特定测试条件下的连接情况，延迟通常表示对应测试的耗时。结果受测试方法、目标地址与当前网络影响，不能直接换算成下载速度；超时也可能来自测试目标或解析路径，应结合实际访问判断。

TLS / SNI: TLS 用于保护连接，SNI 是握手时指明目标主机名的信息。Address 可以是连接地址，而 SNI 需要符合服务器的 TLS 配置；遇到证书名称不符，应核对域名、证书与设备时间，不宜用关闭验证代替修正参数。

URL Rewrite: 根据配置条件对请求地址进行改写的能力，作用不同于选择流量走向的规则分流。能否生效取决于请求是否可见、匹配条件及相关配置，不能据此假定可以处理任意加密内容；只启用已经理解用途的改写项。