Shadowrocket 最近更新了什么：三个版本，把“网络工具箱”向前推了一步

Kafka16.7万曝光 · 174 收藏

很多人只用 Shadowrocket 导入订阅、选节点、开开关，更新日志里的 Tailscale、MASQUE、ClientHello、Mieru、XHTTP 因而像一串黑话。

美国区 App Store 的最新稳定版是 2.2.90，7 月 7 日发布。结合 2.2.81 和 2.2.88 看，这轮更新加入了私有组网、企业 VPN 接入和移动端调试能力，把“网络工具箱”的边界又向外推了一步。

最近三个稳定版，分别加了什么

表达式：^https://httpbin\.org/anything/shadowrocket-demo$
类型：text
数据：{"source":"shadowrocket","ok":true}
额外响应头：Content-Type: application/json

2.2.90 最有辨识度的是全局 Tailscale 隧道。手机可以加入自己的 tailnet，查看对端和往返延迟，并用 MagicDNS 设备名访问私有网络里的电脑、NAS 或服务。它解决的是远程访问私有设备，不只是换一种代理协议。

MASQUE、Mieru 和 TrustTunnel 更偏向能提供兼容服务端配置的用户；OpenConnect 则可连接兼容的企业或校园 SSL VPN，前提是单位允许并提供账号。TLS ClientHello 指纹选项改变的是 TLS 握手呈现出的客户端特征，它不是完整的浏览器模拟，也不能自动带来匿名或提速。

其余改动更接近日常维护：调整 Mux、XHTTP 和链式套接字，修复多级代理下的 SOCKS5 UDP；恢复 VPN 状态下的 Bonjour、DNS-SD 发现，并处理后台 WebKit 反复唤醒引起的耗电。它们针对特定问题，不代表所有设备都会更快、更省电。

三个可以实际动手的例子

例一：在蜂窝网络下访问家中电脑

先在家中的 Linux 或已配置命令行工具的 Mac 上安装 Tailscale，并加入你的 tailnet。没有网页服务时，可临时启动一个只监听 Tailscale 地址的文件服务器：

https://httpbin.org/anything/shadowrocket-demo

然后在 Tailscale 管理后台创建一个一次性认证密钥。进入 Shadowrocket 的 Tailscale 配置页，填入密钥并启用模块，再打开主隧道。关闭 Wi-Fi、改用蜂窝网络，在 Safari 访问：

mkdir -p ~/tailscale-test
cd ~/tailscale-test
python3 -m http.server 8000 --bind "$(tailscale ip -4)"

MagicDNS 正常时，设备名可代替 100.64.0.0/10 范围内的 Tailscale 地址。打不开就检查服务、端口、防火墙和 tailnet 策略。本例仅访问直接安装 Tailscale 的设备；子网路由、Peer Relay 仍在 2.2.91 测试版更新，不能视作 2.2.90 已完整支持。结束后按 Ctrl+C 停止服务。

例二：只让 GitHub 相关流量走代理

规则分流不是新功能。空白配置可粘贴下面整段；已有 [Rule] 时，只把三条 GitHub 规则插到原有 FINAL 前，并保留原兜底策略。局域网规则按自己的网络情况取舍。

| 版本 | 日期 | 主要变化 |
| :--- | :--- | :--- |
| 2.2.81 | 2026-05-14 | 加入 Mieru、OpenConnect、TrustTunnel、HTTP/2 MITM 和 XHTTP 非对称下载，并改进 DNS 与 HTTP/3 |
| 2.2.88 | 2026-06-10 | 扩展 Mieru 配置，改善大型代理组测速 |
| 2.2.90 | 2026-07-07 | 加入 Tailscale、MagicDNS、MASQUE 和 TLS ClientHello 指纹选项，并集中修复连接与系统问题 |

这让 GitHub 页面及常见资源域名使用当前选中的代理，局域网和其余流量直连；若想固定某个节点或策略组，再把内置的 PROXY 换成其实际名称。把全局路由设为“配置”，打开日志后访问 GitHub，即可核对命中的规则。

规则通常自上而下匹配，FINAL 应放在最后。同一个 App 还可能访问登录或 CDN 域名，所谓“按 App 分流”通常仍要根据日志补域名或 IP。

例三：在手机上模拟一份 API 返回

Map Local 和 HTTPS 解密是旧能力，2.2.81 新增了 HTTP/2 MITM。下面用 httpbin 做一个可撤销的实验。

先在当前配置的“HTTPS 解密”中生成并安装 CA，再到 iOS 的“设置 → 通用 → 关于本机 → 证书信任设置”开启完全信任，并把 httpbin.org 加入解密主机名。然后点击配置文件的 ⓘ，进入“本地映射”，新增以下内容：

http://家中电脑的设备名:8000/

开启当前配置的 HTTPS 解密，把全局路由设为“配置”，再用 Safari 打开：

[Rule]
DOMAIN-SUFFIX,github.com,PROXY
DOMAIN-SUFFIX,githubusercontent.com,PROXY
DOMAIN-SUFFIX,githubassets.com,PROXY
IP-CIDR,192.168.0.0/16,DIRECT,no-resolve
FINAL,DIRECT

页面应收到本地 JSON，而非 httpbin 的正常响应。开发者可用于自己的测试域名，模拟空数据或功能开关。若 App 使用证书固定，连接可能失败；并非所有 HTTPS 请求都能被解密。

完成后关闭 HTTPS 解密、移除映射，并删除不再使用的 CA。不要解密所有主机，不要把银行、支付、Apple ID 或生产系统放进实验范围，也不要安装来源不明的证书、模块与脚本。只处理自己的设备、服务或获授权的流量。

谁能从这轮更新里得到真正的价值

家庭网络用户最值得试 Tailscale；能配置兼容服务端的用户可以研究 MASQUE、Mieru 与 TrustTunnel；企业或校园用户可在授权范围内测试 OpenConnect；开发者则能组合规则、Map Local、HTTP/2 MITM 和脚本。客户端支持并不等于服务端、账号和权限已经存在。

只用现成订阅的人不必追逐每个新协议，2.2.90 对他们的意义仍是连接、局域网发现、UDP 和耗电修复。官方也明确说明应用不附带服务器资源。保持一份能看懂、能排错的配置，往往比打开所有开关更实用。