core: mihomo
mihomo 内核
mihomo 是原 Clash.Meta 项目使用的内核名称，负责代理协议连接、DNS 处理和规则匹配，图形界面只是调用这些能力的操作层。不同客户端可能打包不同内核版本，因此界面更新不代表内核也已更新。遇到字段不识别或协议不支持时，应查看实际内核版本与启动日志，而不是只看应用名称。
# 第 01 类 · core-clients
内核与客户端
界面负责操作入口，内核负责处理连接。先确认正在运行的组件，再判断设置应改在哪里。
GUI / profile / settings
客户端
客户端是提供订阅导入、节点选择、连接查看与网络接管设置的应用，可能内置内核，也可能管理独立的内核进程。系统代理开关、开机启动等设置往往保存在客户端本地，不一定属于订阅文件。迁移到另一款客户端时，导入同一订阅不代表这些本地选项也会迁移，需要重新检查权限与接管状态。
external-controller
外部控制器
外部控制器是内核提供给界面或控制面板的管理接口，可用于读取连接、查看日志和切换策略组选择。它与供应用发送代理请求的端口用途不同，把浏览器代理指向控制器端口不会获得正常代理服务。一般保持本机访问范围并设置认证；确需远程管理时，还要单独设计访问限制，不能直接暴露到公网。
mixed-port
混合端口
混合端口是在同一个监听入口接受 HTTP 代理与 SOCKS 代理连接的设置，应用可按自身支持的方式连接这个入口。常见配置使用 mixed-port: 7890，但实际端口应以当前客户端为准，不应机械照填。端口存在不代表流量已接管，还要确认应用是否使用它，以及监听地址、局域网访问权限和防火墙是否允许连接。
# 第 02 类 · proxy-protocols
代理协议
协议决定客户端怎样连接服务器。节点标签相同，不意味着认证、传输与安全参数可以互换。
proxies
节点
节点是一组描述代理出口的连接参数，通常包含服务器地址、端口、协议与认证信息，也可能附带 TLS、传输方式和 UDP 支持设置。节点名称只是便于识别的标签，不能单靠名称判断真实出口位置或可用性。选择节点后仍需访问目标服务验证；同一服务器上的不同节点，也可能因端口或传输配置不同而表现不同。
type: ss
Shadowsocks
Shadowsocks 通过双方约定的加密方法与凭据建立代理连接，在配置中通常使用 type: ss 表示。客户端和服务端必须匹配加密方法、密码及相关插件参数，只有服务器地址正确仍不足以连接。不同内核对方法和插件的支持范围可能不同，导入失败时应先核对这些字段，而不是仅靠切换规则模式尝试修复。
type: vmess
VMess
VMess 是使用用户标识等参数完成认证的代理协议，可以配合 WebSocket 等传输方式使用，并按服务端要求启用 TLS。一个节点的认证、传输路径、主机名和 TLS 参数需要整体匹配，协议名称只是其中一层。连接异常时也应检查设备时间是否准确；单独更换 DNS 通常不能解决认证或传输字段不一致的问题。
type: vless
VLESS
VLESS 是轻量的代理认证与数据封装协议，常与 TLS 或 REALITY 等安全机制组合使用，不能仅凭协议名称认定连接已经加密。配置中的用户标识、传输方式、服务器名称及安全层参数都需要与服务端相符。导入后如果内核提示字段不支持，应先检查内核能力和配置格式，而不是随意删除安全参数让配置勉强加载。
type: trojan
Trojan
Trojan 通常在 TLS 连接中承载代理流量，并使用密码认证，配置中还可能包含额外传输参数。服务器连接地址与 TLS 使用的服务器名称是不同概念，地址能连通不代表证书验证一定通过。遇到证书错误时，先核对主机名、设备时间和服务端证书状态，不应把跳过证书验证当作常规排查步骤。
# 第 03 类 · rules-routing
规则与分流
规则匹配目标，策略组提供出口。查连接记录时，把命中规则与最终使用的节点一起看。
mode: rule / global / direct
规则分流与代理模式
规则模式按配置中的规则决定出口，全局模式使用全局策略，直连模式通常不经过远程代理出口，但仍可能受内核 DNS 等设置影响。这里的模式只决定已进入内核的流量怎样处理，并不负责把所有应用流量送进内核。日常使用通常从规则模式开始，临时切到全局可辅助区分规则问题与节点问题，但不能替代接管检查。
proxy-groups
策略组
策略组把多个节点或其他策略组织成一个可供规则引用的出口，规则指向组名后，由组的类型与当前状态决定最终节点。select 适合手动选择，url-test 根据探测结果自动选择，fallback 通常按顺序选择可用项。选择自动组不代表每个网站都会使用最快线路，探测目标与实际访问目标仍可能不同。
rules / MATCH
规则匹配顺序
普通 rules 列表从上到下检查，首条命中后采用对应策略，后面的规则不会再为同一连接重新选择出口。宽泛规则若放得过早，可能遮住后面的精细规则，因此自定义规则的位置与内容同样重要。MATCH 通常放在末尾兜底；修改后要重新建立连接，再查看命中记录，已建立的长连接不一定立即改变出口。
GEOIP / GEOSITE
GeoIP 与 GeoSite
GeoIP 根据 IP 数据库给地址分类，GeoSite 根据域名集合给网站分类，两者匹配的对象与依赖的数据不同。使用 IP 规则时可能需要先解析域名，具体行为还受规则参数与内核配置影响，不能把域名分类和 IP 归属视为同一件事。数据库可能存在更新滞后，遇到误分流应查看实际目标与命中规则，再用更精确的规则修正。
rule-providers / RULE-SET
规则提供者
规则提供者通过 rule-providers 管理外部规则集合，再由 RULE-SET 在主规则列表中引用，适合把不同服务的规则独立维护。集合的行为类型、文件格式和内容必须匹配，否则下载成功也不代表能够正确加载。若某个服务突然分流异常，应同时检查规则集更新时间、加载日志和引用位置，不要只检查节点是否在线。
# 第 04 类 · dns-network
DNS 与网络栈
解析路径、流量入口与连接出口是三件事。开启开关后，还需要检查路由与应用自身的网络行为。
DNS query path
DNS 泄漏
DNS 泄漏指域名查询绕过预期解析路径，发往不希望使用的解析服务；它描述的是查询去向，不是单纯的网页能否打开。系统 DNS、浏览器安全 DNS 和应用内置解析都可能影响结果，开启 TUN 也不能替代逐项验证。排查时应结合查询记录、内核 DNS 日志与接管范围判断，不能只凭测试页显示某个解析商名称就下结论。
enhanced-mode: fake-ip
Fake-IP
Fake-IP 模式向应用返回虚拟地址，内核保存虚拟地址与域名的映射，连接进入内核后再依据域名执行分流与后续访问。看到虚拟地址并不表示 DNS 配错，也不能把它当成目标服务器的真实地址去测试连通性。部分局域网或校验地址的应用可能需要例外处理，应先定位具体域名，再考虑局部过滤，避免直接扩大例外范围。
tun: enable
TUN 模式
TUN 通过虚拟网络接口接收 IP 数据包，能覆盖部分不遵循系统代理设置的应用，通常需要管理员权限或系统 VPN 授权。实际接管范围仍取决于路由、排除项、DNS 与客户端实现，并非开关显示启用就代表所有流量都已接管。启用后应分别验证目标应用、局域网访问与 DNS，若发生冲突，先检查其他 VPN 和虚拟网卡软件。
system proxy → local listener
系统代理
系统代理把操作系统的代理设置指向客户端本地监听地址与端口，遵循这些设置的应用才会把请求交给内核。部分游戏、命令行工具或自带网络栈的应用可能忽略系统代理，因此浏览器可用不代表其他应用也已接管。关闭或卸载客户端后若网络异常，应确认系统中是否残留代理地址；初次连接可先按系统代理设置步骤验证。
nameserver / DoH / DoT
DNS 上游
DNS 上游是客户端发送域名查询时使用的解析服务，可采用传统 DNS、DNS over HTTPS 或 DNS over TLS 等传输方式。查询传输是否加密，与它从直连还是代理出口发出是两个问题，选择 DoH 不等于解析流量自动经过代理。上游使用域名时还涉及首次解析，应结合内核的解析配置检查依赖关系，避免形成无法完成初始解析的循环。
# 第 05 类 · subscription-config
订阅与配置文件
先辨认订阅提供了什么，再决定在哪里修改。节点更新、规则更新和客户端升级并不是同一个操作。
subscription / profile
订阅
订阅是通过链接分发和更新节点或完整配置的方式，不是一种代理协议，也不保证所有客户端都能直接识别同一内容。有些链接返回完整 Clash YAML，有些只有节点列表或其他格式，导入前应确认服务提供方标注的适用类型。订阅链接可能包含访问凭据，不要公开贴到截图、日志或在线转换工具中；操作方法见订阅链接导入。
config.yaml
YAML
YAML 是使用缩进表达层级的文本格式，Clash 配置通过它组织节点、策略组、规则和 DNS 等设置，缩进应使用空格而不是制表符。编辑时要保留同级字段对齐，含特殊字符的值需要正确引用，新增列表项也要放在正确层级。语法能解析不代表所有字段都被当前内核支持，保存后仍应检查加载日志和最终生效配置。
proxy-providers / use
代理提供者
代理提供者通过 proxy-providers 管理外部节点集合，由策略组通过 use 引用，便于把节点来源与本地规则分开维护。它与完整订阅配置不同，单独取得节点集合并不意味着已经具备可用的策略组、规则和 DNS 设置。新增提供者后应检查获取状态、内容格式和组引用；只有文件下载成功，节点仍可能没有出现在目标策略组中。
delay / test URL / timeout
延迟测试
延迟测试通常测量客户端经过某个节点访问指定探测地址所需的时间，结果会受到探测目标、服务器负载与当前网络路径影响。数值较低不等于下载带宽更高，显示超时也可能只是探测地址不可达，而非所有服务都不可用。选择节点时应把测试结果与实际目标访问结合起来，再查看连接面板是否使用了预期出口，详见节点测速与验证。
update / override / merge
订阅更新与配置覆写
订阅更新会重新获取远程内容，配置覆写则通常在加载时合并或修改部分字段，两者分别解决内容刷新与本地定制问题。直接编辑下载后的订阅文件，修改可能在下一次更新时被替换；使用覆写功能也要确认是追加列表、合并对象还是完整替换。不同客户端的合并顺序并不一致，更新前保留本地修改记录，更新后检查最终规则与策略组引用是否仍然有效。