订阅转换安全防泄漏指南：自建 Subconverter 与在线订阅转换避坑

用户浏览器 
  │ 
  ▼ (HTTPS/HTTP 发起转换请求)
公共转换 Web 反向代理 (Nginx / OpenResty) ──[记录 Access Log 包含完整 URL]──► 磁盘持久化日志
  │
  ▼ (内网转发原始请求)
Subconverter 后端 C++ 进程 
  │
  ▼ (由转换后端服务器主动请求机场节点)
你的网络服务商 API 接口 (https://airport.com/api/v1/client/subscribe?token=SECRET_TOKEN)
  │
  ▼ (返回包含所有节点 IP/端口/密码/UUID 的原始数据)
Subconverter 解析重构为 Clash YAML 格式
  │
  ▼ 
回传给用户浏览器或客户端

# 拉取官方最新稳定版镜像并后台启动，映射 25500 端口
docker run -d \
  --name my-subconverter \
  --restart always \
  -p 25500:25500 \
  --memory 256m \
  --cpus 0.5 \
  tindy2013/subconverter:latest

mkdir -p /opt/subconverter && cd /opt/subconverter

version: '3.8'

services:
  subconverter:
    image: tindy2013/subconverter:latest
    container_name: subconverter-backend
    restart: always
    volumes:
      - ./pref.ini:/base/pref.ini:ro
    networks:
      - sub-net
    expose:
      - "25500"

  caddy:
    image: caddy:2-alpine
    container_name: subconverter-caddy
    restart: always
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    networks:
      - sub-net
    depends_on:
      - subconverter

networks:
  sub-net:
    driver: bridge

volumes:
  caddy_data:
  caddy_config:

sub.yourdomain.com {
    encode gzip zstd

    # 隐藏反向代理真实后端特征与版本信息
    header {
        -Server
        Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
        X-Content-Type-Options "nosniff"
        X-Frame-Options "DENY"
    }

    # 反向代理流量至内网隔离的 subconverter 容器
    reverse_proxy subconverter:25500 {
        header_up Host {host}
        header_up X-Real-IP {remote_host}
        header_up X-Forwarded-For {remote_host}
        header_up X-Forwarded-Proto {scheme}
    }

    # 禁用访问日志持久化落地，实现绝对物理零日志留存
    log {
        output discard
    }
}

docker compose up -d

[common]
; API 访问密码，只有在请求 URL 中携带 &token=MyStrongPassword2026 时才允许执行转换
api_access_token=MyStrongPassword2026
; 设置默认输出目标格式为 clash
default_target=clash
; 禁用外部上传自定义规则，提升物理安全性
allow_custom_ruleset=false
; 限制并发转换请求线程数，防止瞬时拒绝服务攻击 (DoS)
max_pending_requests=10
; 设置远程抓取订阅时的超时阈值 (秒)
http_timeout=15

[node_filter]
; 全局自动过滤无意义的过期或广告节点
exclude_remarks=(过期|剩余|官网|通知|关注)

https://sub.yourdomain.com/sub?target=clash&url=https://your-airport.com/sub?token=xxx&token=MyStrongPassword2026

https://sub.yourdomain.com/sub?target=clash&url=ENCODED_AIRPORT_URL&config=https://raw.githubusercontent.com/ACL4SSR/ACL4SSR/master/Clash/config/ACL4SSR_Online_Full_MultiMode.ini

# 步骤 1：将多个单节点链接用纵杠“|”或换行符拼接，并进行标准 URL 编码
RAW_NODES="vmess://eyJhZGQiOiIxLjEuMS4xIiwicG9ydCI6NDQz...|ss://YWVzLTI1Ni1nY206cGFzc3dvcmRAMS4yLjMuNDo4Mz...|trojan://[email protected]:443#MyTrojan"
ENCODED_NODES=$(python3 -c "import urllib.parse; print(urllib.parse.quote('''$RAW_NODES'''))")

# 步骤 2：直接向私有自建服务发起请求并导出为 local_profile.yaml
curl -s "http://127.0.0.1:25500/sub?target=clash&url=${ENCODED_NODES}&insert=false" -o /tmp/local_profile.yaml

# 步骤 3：验证生成的 YAML 结构有效性
head -n 25 /tmp/local_profile.yaml

[发现异常流量/被盗]
       │
       ▼
【第 1 步：登入后台一键重置 Token】──► 旧订阅物理作废，所有黑客爬虫及外流节点瞬间断流
       │
       ▼
【第 2 步：强制踢出所有活跃在线会话】──► 终止服务商边缘网关上残留的活跃长连接状态
       │
       ▼
【第 3 步：全面清空第三方转换配置】──► 从 Clash Verge 中彻底删除历史引用的公共转换 URL
       │
       ▼
【第 4 步：使用全新安全链接直接导入】──► 优先选用原生 Clash 订阅，从物理根源杜绝二次泄漏

// Clash Verge Rev 本地扩展脚本：替代外部订阅转换，实现纯本地内存级重构
function main(config, profileName) {
  // 1. 纯本地批量清洗节点名称中的垃圾广告字符
  if (Array.isArray(config.proxies)) {
    config.proxies.forEach(proxy => {
      proxy.name = proxy.name
        .replace(/\[.*?\]|\(.*?\)|官网.*?$/g, '')
        .replace(/剩余流量.*?$/g, '')
        .trim();
    });
  }

  // 2. 纯本地动态注入个人专属的高优先级故障转移策略组
  const allProxyNames = config.proxies.map(p => p.name);
  const myCustomGroup = {
    name: "⚡ 极速容灾容错",
    type: "fallback",
    url: "https://www.gstatic.com/generate_204",
    interval: 180,
    proxies: allProxyNames
  };

  // 插入策略组首位
  config['proxy-groups'].unshift(myCustomGroup);

  return config;
}

# 树莓派 ARM64 架构下启动轻量容器
docker run -d \
  --name home-subconverter \
  --restart always \
  --network host \
  tindy2013/subconverter:latest

#!/usr/bin/env bash
# ==============================================================================
# 私有 Subconverter 容器健康自检与异常自动自愈脚本
# ==============================================================================

CONTAINER_NAME="my-subconverter"
PORT=25500
HEALTH_ENDPOINT="http://127.0.0.1:${PORT}/version"

# 检查容器是否处于运行状态
if ! docker ps --format '{{.Names}}' | grep -q "^${CONTAINER_NAME}$"; then
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] 警告: 容器 ${CONTAINER_NAME} 未运行，正在尝试重新拉起..."
    docker restart "${CONTAINER_NAME}" || docker run -d --name "${CONTAINER_NAME}" --restart always -p ${PORT}:${PORT} tindy2013/subconverter:latest
    exit 1
fi

# 检查 HTTP 接口是否能够正常响应
HTTP_CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 5 "${HEALTH_ENDPOINT}")

if [ "${HTTP_CODE}" -eq 200 ]; then
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] 状态良好: Subconverter 正常监听且响应 200 OK。"
    exit 0
else
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] 严重错误: 接口响应码为 ${HTTP_CODE}，服务疑似假死，正在强制重启容器..."
    docker restart "${CONTAINER_NAME}"
    exit 2
fi

chmod +x /usr/local/bin/check_subconverter.sh
(crontab -l 2>/dev/null; echo "*/15 * * * * /usr/local/bin/check_subconverter.sh >> /var/log/subconverter_health.log 2>&1") | crontab -

# ==============================================================================
# 私有 Subconverter 远程连通性与转换解析性能基准测试
# ==============================================================================

$ServerDomain = "sub.yourdomain.com"
$ApiToken = "MyStrongPassword2026"
$TestEndpoint = "https://$ServerDomain/version"

Write-Host "正在发起针对私有转换节点 [$ServerDomain] 的安全握手检测..." -ForegroundColor Cyan

try {
    $Stopwatch = [System.Diagnostics.Stopwatch]::StartNew()
    $Response = Invoke-RestMethod -Uri $TestEndpoint -Method Get -TimeoutSec 5 -ErrorAction Stop
    $Stopwatch.Stop()

    Write-Host "✅ 服务状态正常！" -ForegroundColor Green
    Write-Host "   - 远程版本号 : $Response" -ForegroundColor Gray
    Write-Host "   - 端到端延迟 : $($Stopwatch.ElapsedMilliseconds) ms" -ForegroundColor Gray
}
catch {
    Write-Host "❌ 无法连接至远程转换服务，错误详情：" -ForegroundColor Red
    Write-Host "   $($_.Exception.Message)" -ForegroundColor Yellow
    Write-Host "建议排查方向：1. VPS 安全组 80/443 端口是否放行；2. Caddy 容器证书是否正常签发；3. DNS 解析是否生效。" -ForegroundColor Cyan
}