lozt

@Puteulanus 解决了！

确实是因为开了覆盖连接目标地址(clashmeta 里是 sniffer.override-destination)，而且我是 VPS 上自己搭的 xray-core ，很不幸也开了覆盖连接目标地址配置- -（这个是之前配置不生效的主要原因：只是关了本地 clashmeta 的，到 VPS 端后还是被嗅探并替换了）。两端配置都改成 只开嗅探但是不覆盖目标地址 就可以了。

今天看到 clashmeta webui 上现实的 host 和嗅探的 host 确实不一样，鬼事神差地去服务器上看了一眼，然后就破案了。

（果然还是自己太菜了，给 clashmeta 磕头谢罪 Orz ）

@Puteulanus 好的好的，感谢分享🙏。看了下 clash 有类似配置的，晚点我再实践一波。

@Puteulanus #1 搜 AdGuardHome 强制安全搜索 搜到这里了- -，补一句自己的实践结果吧- -
根据 DNS 屏蔽色情网站是勾选上就 ok 的。
但是安全搜索，这个墙内似乎是不好用- -

安全搜索的原理，好像就是访问 google.com 的时候 AGH 直接返回 forcesafesearch.google.com 的 DNS 结果，这样对于不需要扶墙的客户端，直接访问解析到的 IP ，google 返回的就是“纯净版”的结果。

但是在墙内扶墙，clash meta 之类的软件，遇到需要扶墙的域名后是直接交给代理服务器解析的，直接跨过去了。而且即便 clash meta 解析了，它也只是拿结果用来分流，最终发送给代理服务器的还是原始域名。好像有点无解...

之前也用，不过按照 Obsidian 的收费协议，在超过 1 人的公司内记录工作相关的笔记，是要付费的，就是似乎没有啥强制手段就是了...

现在还是回归 VNote 了，也没啥太强的同步需求。

@emonc 多谢提醒，在这里爬楼看得竟然想下个 PDD ，差点忘记提权那个事儿... 太健忘了...

@clue 明显是后端没做好吧，接口层面的 xss... 前端校验、防 xss 做再多也只是页面交互层面的

有个疑问，你家里网络是一直都有公网 ip 可以访问到吗？是的话，那运营商只要扫 ip 端口就能确定有没有开 http(s)服务的吧。跟套不套 frp 应该没啥关系。

我自己家里是没有公网 ip 的，内网服务也默认不对外透出端口，用过 frp 、wireguard 都没什么问题。

@hxind 嗯，tls 之后内层跑啥倒是没太大关系了。

我是一开始是先搭了 wireguard 到墙外机器 ，但是 QOS 太严重了，经常 ping 不通，后来套了 udp2raw+udpspeeder 。
再后来改用 vless 主要还是想在手机上用，又不想 root 跑命令行啥的。手机上 Clash 客户端配 wireguard, dialer-proxy 配置成 vless 。

当时主要还是太懒，想全平台统一吧，这样拷贝下配置文件改改就好了。