客户端订阅与模板
把入站代理端口组织为客户端订阅，配置选择器、代理组、路由、拉取策略和 Token 轮换。
订阅管理保存用户的套餐、流量与有效期；订阅链接给 Clash、Surge 等客户端拉取节点配置。先准备当前用户有权使用且已开启入站代理的端口，再生成客户端订阅。
从模板或空白创建链接
进入 订阅链接 → 新建订阅，填写名称，选择源模板和允许的导出格式。
格式可选 Clash、Surge、Shadowrocket、V2Ray / Base64，不勾选表示允许全部格式。各格式可表达的协议和规则不同，必须看对应格式的预览结果。
创建时模板被冻结为快照，与源模板脱钩。 后来修改源模板不会自动更新这个链接；需要编辑链接自己的配置，或明确创建另一条链接。端口候选则会在每次拉取时实时重算，模板快照与实时节点是两回事。
先点击 预览输出，确认节点和规则，再创建、复制链接并在客户端添加订阅。链接、二维码和导出配置包含访问凭据，不能公开分享。
配置模板的五个部分
进入 配置模板 → 新建模板。也可克隆内置／公开模板，在自己的副本中修改。
| 部分 | 作用 |
|---|---|
| 代理选择器 | 从可用入站端口按名称、线路、协议、端口标签或线路标签筛节点 |
| 代理组 | 让客户端手选、测速、故障转移或均衡使用节点 |
| 路由规则 | 客户端按域名、IP、规则集等选择代理组、DIRECT 或 REJECT |
| 通用设置 | 填写配置生成所需的通用字段 |
| 平台专属 | 配置目标客户端特有的字段，核对格式支持情况 |
这里的代理组和路由运行在客户端；面板的服务器组、转发链及服务端分流规则仍是独立配置。
用选择器筛出节点
例如创建名称为“香港入口”的包含选择器，对名称使用 香港|Hong Kong正则，再按需要增加协议或标签条件。
- 同一选择器内按 AND / OR组合条件。
- 全部 包含选择器先取并集。
- 排除选择器再从结果剔除节点。
- 核对实时命中预览；节点数量为零时先查端口权限、入站开关及过滤条件。
添加代理组和路由
代理组支持手动选择、自动测速、故障转移、负载均衡与智能选路。成员引用选择器或其他组，也可以用正则匹配选择器名称；它不是直接筛节点名称的输入框。
按客户端支持情况配置健康检查 URL、间隔（秒）、容差（毫秒）、纳入全部节点及名称过滤。智能组在 Surge 原生支持，Clash 需匹配其 Smart 设置，否则会降级；Shadowrocket 不支持的代理组会被忽略。
路由规则按顺序设置匹配条件和去向，最后核对未命中的默认去向。保存前使用 预览配置和规则测试检查引用是否存在、是否形成循环及目标格式能否表达。
预览与客户端验证
不同格式可能丢弃不兼容协议；预览会区分“没有可用节点”“被选择器排除”和“格式不兼容”。不以面板端口总数推断导出数量。
预览专用链接用于排查生成配置，有有效期，也可能包含节点凭据；它不是永久替代正式订阅的公开测试地址。
客户端添加后手动更新一次，检查更新结果、节点数量、连接信息和真实访问。客户端路由正确也不能证明服务端出口可用，仍需核对端口同步和出站路径。
设置功能、额度和拉取策略
管理员进入 订阅链接 → 策略与额度，选择用户后调整并保存。
| 项目 | 当前行为 |
|---|---|
| 继承 / 启用 / 禁用 | 继承套餐／系统；禁用会阻止新建，并停止已有链接拉取，管理员也受功能禁用影响 |
| 模板数 / 链接数 | 留空继承；管理员不受数量上限限制 |
| 拉取防火墙 | 限制发起订阅 HTTP 请求的来源，与代理业务端口防火墙不同 |
| UA 策略 | 允许／拒绝指定客户端标识，管理员也适用；UA 不是不可伪造的身份凭证 |
| 最小拉取间隔 | 同一链接两次成功拉取的最小间隔，留空继承系统，缺省 60 秒；管理员免此限频 |
链接显示的流量是账户级额度与用量，多条链接共用，不能当成每条链接另有一份配额。
拉取日志、设备和凭据泄露
链接列表可查看拉取日志、最近来源和客户端信息。频繁失败时先查功能开关、用户到期、拉取间隔、UA、防火墙与格式，避免让客户端高频重复请求。
泄露时使用 重置 Token，按需要设置旧 Token 宽限秒数；0表示立即失效。把新链接更新到自己的客户端，并检查旧链接已不能拉取。
Token 失效阻止后续拉取，不能收回别人已保存的节点密码。必要时还要更换相关入站凭据。
在线设备 / 踢 IP显示实际 worker 上的连接来源，并提供带有效期的阻断。出现“部分节点查询失败”时，空列表不能证明无人在线。IPv4 / IPv6 前缀、封禁时间及下发状态都需核对，避免误封同一 NAT 下的正常用户。