# 客户端订阅与模板

**订阅管理**保存用户的套餐、流量与有效期；**订阅链接**给 Clash、Surge 等客户端拉取节点配置。先准备当前用户有权使用且已开启[入站代理](/docs/inbound-proxy/)的端口，再生成客户端订阅。

## 从模板或空白创建链接

进入 **订阅链接 → 新建订阅**，填写名称，选择源模板和允许的导出格式。

![订阅链接的新建表单、源模板和导出格式](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-subscription-create-50e382a6625f.png)

格式可选 **Clash、Surge、Shadowrocket、V2Ray / Base64**，不勾选表示允许全部格式。各格式可表达的协议和规则不同，必须看对应格式的预览结果。

**创建时模板被冻结为快照，与源模板脱钩。** 后来修改源模板不会自动更新这个链接；需要编辑链接自己的配置，或明确创建另一条链接。端口候选则会在每次拉取时实时重算，模板快照与实时节点是两回事。

先点击 **预览输出**，确认节点和规则，再创建、复制链接并在客户端添加订阅。链接、二维码和导出配置包含访问凭据，不能公开分享。

## 配置模板的五个部分

进入 **配置模板 → 新建模板**。也可克隆内置／公开模板，在自己的副本中修改。

| 部分 | 作用 |
| --- | --- |
| 代理选择器 | 从可用入站端口按名称、线路、协议、端口标签或线路标签筛节点 |
| 代理组 | 让客户端手选、测速、故障转移或均衡使用节点 |
| 路由规则 | 客户端按域名、IP、规则集等选择代理组、DIRECT 或 REJECT |
| 通用设置 | 填写配置生成所需的通用字段 |
| 平台专属 | 配置目标客户端特有的字段，核对格式支持情况 |

这里的代理组和路由运行在客户端；面板的服务器组、转发链及服务端[分流规则](/docs/unlock-traffic-routing-guide/)仍是独立配置。

### 用选择器筛出节点

![代理选择器：包含／排除、AND／OR 与实时匹配预览](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-subscription-selector-3efca074822d.png)

例如创建名称为“香港入口”的包含选择器，对名称使用 `香港|Hong Kong`正则，再按需要增加协议或标签条件。

1. 同一选择器内按 **AND / OR**组合条件。
2. 全部 **包含**选择器先取并集。
3. **排除**选择器再从结果剔除节点。
4. 核对实时命中预览；节点数量为零时先查端口权限、入站开关及过滤条件。

### 添加代理组和路由

代理组支持手动选择、自动测速、故障转移、负载均衡与智能选路。成员引用选择器或其他组，也可以用正则匹配**选择器名称**；它不是直接筛节点名称的输入框。

按客户端支持情况配置健康检查 URL、间隔（秒）、容差（毫秒）、纳入全部节点及名称过滤。智能组在 Surge 原生支持，Clash 需匹配其 Smart 设置，否则会降级；Shadowrocket 不支持的代理组会被忽略。

路由规则按顺序设置匹配条件和去向，最后核对未命中的默认去向。保存前使用 **预览配置**和规则测试检查引用是否存在、是否形成循环及目标格式能否表达。

## 预览与客户端验证

不同格式可能丢弃不兼容协议；预览会区分“没有可用节点”“被选择器排除”和“格式不兼容”。不以面板端口总数推断导出数量。

预览专用链接用于排查生成配置，有有效期，也可能包含节点凭据；它不是永久替代正式订阅的公开测试地址。

客户端添加后手动更新一次，检查更新结果、节点数量、连接信息和真实访问。客户端路由正确也不能证明服务端出口可用，仍需核对端口同步和出站路径。

## 设置功能、额度和拉取策略

管理员进入 **订阅链接 → 策略与额度**，选择用户后调整并保存。

![订阅链接的功能三态、数量上限、拉取防火墙、UA 与限流](https://img.coderluny.com:444/uploads/zfc-tutorial-20261018-subscription-policy-4f34b208aa7e.png)

| 项目 | 当前行为 |
| --- | --- |
| 继承 / 启用 / 禁用 | 继承套餐／系统；禁用会阻止新建，并停止已有链接拉取，管理员也受功能禁用影响 |
| 模板数 / 链接数 | 留空继承；管理员不受数量上限限制 |
| 拉取防火墙 | 限制发起订阅 HTTP 请求的来源，与代理业务端口防火墙不同 |
| UA 策略 | 允许／拒绝指定客户端标识，管理员也适用；UA 不是不可伪造的身份凭证 |
| 最小拉取间隔 | 同一链接两次成功拉取的最小间隔，留空继承系统，缺省 60 秒；管理员免此限频 |

链接显示的流量是账户级额度与用量，多条链接共用，不能当成每条链接另有一份配额。

## 拉取日志、设备和凭据泄露

链接列表可查看拉取日志、最近来源和客户端信息。频繁失败时先查功能开关、用户到期、拉取间隔、UA、防火墙与格式，避免让客户端高频重复请求。

泄露时使用 **重置 Token**，按需要设置旧 Token 宽限秒数；`0`表示立即失效。把新链接更新到自己的客户端，并检查旧链接已不能拉取。

Token 失效阻止后续拉取，**不能收回别人已保存的节点密码**。必要时还要更换相关入站凭据。

**在线设备 / 踢 IP**显示实际 worker 上的连接来源，并提供带有效期的阻断。出现“部分节点查询失败”时，空列表不能证明无人在线。IPv4 / IPv6 前缀、封禁时间及下发状态都需核对，避免误封同一 NAT 下的正常用户。

套餐授权与用户额度见[用户、套餐与计费](/docs/users-packages/)，访问控制的层次见[防火墙与访问限制](/docs/firewall/)。