客户端指南

陌生 Clash 订阅能执行脚本吗？先分清 YAML 和客户端扩展

别人发来的 .yaml 不是安装包，却也不只是节点地址簿。本文说明 Mihomo 配置能改变哪些网络行为，以及 Clash Verge Rev 的 Script 为什么属于另一层。

发布于 2026/8/11 · 更新于 2026/8/11 · 4 项可核验来源

先看重点不要把陌生 .yaml 当成无害的节点列表。Mihomo 配置会决定代理、DNS、路由、监听和远程 provider；Clash Verge Rev 的 JavaScript Script 是独立增强层，不等同于普通订阅 YAML。来源不可信时不要导入，也不要因文件后缀是 .yaml 就放松判断。

群里有人丢来一条“免费订阅”或一份 config.yaml，让你直接导入 Clash。你担心它会不会像安装程序一样执行代码，又看到有人说“YAML 只是文本，肯定安全”。这两个判断都太快了。

普通 Mihomo 配置不等于安装一个 EXE，也不是被动的节点地址簿。 它会被代理内核读取，并决定进入内核的流量从哪里走、怎样解析域名、监听哪些本地端口，以及还要从哪些地址下载配置内容。只要来源说不清，就没有必要拿日常设备替它试错。

YAML 能改变的是网络行为

Mihomo 官方配置文档列出的字段已经说明了一份配置的权限边界：

配置内容	可能改变什么
`proxies`、`proxy-groups`、`rules`、`mode`	选择出口，并决定哪些请求直连、拒绝或交给某个节点
`dns`	选择解析器、解析策略与 fake-ip 等处理方式
`allow-lan`、入站与监听地址	决定本机或局域网设备能否连接代理入口
`external-controller`、`secret`	决定控制 API 监听在哪里、是否需要访问密钥
`proxy-providers`、`external-ui-url`	按配置中的 URL 下载远程节点集合或面板资源

具体字段是否生效，还会受客户端覆写、系统权限和防火墙影响。看到 0.0.0.0 不足以证明端口已经暴露到公网；反过来，界面里没有显眼开关，也不能证明这段配置毫无作用。

这类能力通常是代理软件正常工作的基础。风险不在于“配置里出现了 DNS 或规则”，而在于你把流量控制权交给了谁、远程内容会从哪里更新，以及客户端是否扩大了本地监听范围。

Script 是客户端的另一层

“订阅带脚本”常把几件事混在一起。至少在 Clash Verge Rev 中，官方说明把 Merge 和 Script 列为配置增强功能；官方源码也把两者作为独立项目处理，Script 编辑器使用 JavaScript，默认入口是 main(config, profileName)。

这说明 Clash Verge Rev 的 Script 不是普通 Mihomo YAML 字段的另一个名字。只看到 .yaml 后缀或远程订阅 URL，不能据此断言 JavaScript 已经运行；要看客户端实际绑定了哪些增强项。

同样不能反向推导“不是 Script 就安全”。没有 JavaScript，一份配置仍可改变进入内核的流量路由和 DNS 处理、指定代理服务器、开启监听，并通过 provider 获取后续内容。文件类型只能帮助判断机制，不能替来源背书。

真正要核对的是来源

配置由谁生成，是最直接的边界。购买服务后从其已核对的用户中心复制，与陌生群文件、短链接或网盘里的“优化配置”，信任基础完全不同。

远程地址也要有来路。订阅主 URL、proxy provider、规则集和外部面板可能分别来自不同域名；主链接可信，不代表其中引用的每个第三方地址都经过你同意。

监听范围是另一条边界。普通单机使用没有理由把代理入口或控制 API 监听到所有网卡。需要共享局域网代理时，也应把代理端口与 9090 控制端口分开判断；后者的权限边界可参考Clash 控制端口安全说明。

任一问题答不清，停在导入之前就是完整答案。不要为了“看看能不能用”关闭防火墙、放行陌生程序或把自己的订阅贴进在线扫描站。

能连上，只证明这条路径能工作

导入后节点显示绿色、网页能够打开，只能证明当时存在可用路径，不能证明配置来源可信，也不能证明所有流量都按你的预期处理。

HTTPS 会保护正常端到端连接的正文，但代理仍参与建立连接并处理路由；具体可见范围取决于协议、DNS 和设备是否额外信任了证书，可参考机场能看到哪些 HTTPS 信息。

如果你现在手里只有一个来历不明的 URL 或 YAML，不导入即可。让提供者给出可核对的官方入口、配置用途和更新域名；给不出时，换回来源明确的订阅或客户端，比在主力设备上验证一个未知配置省事。

资料来源

以下来源于 2026/8/11 复核。版本、支持平台和发布状态以后续官方页面为准。

持续更新

收到新教程，也欢迎纠错

想收到新文章，可以关注 TG 频道；发现下载失效、套餐变化或步骤不一致，请附上页面链接和可公开的截图。不要发送订阅链接、密码或完整账户信息。

关注 TG 频道 Telegram 纠错邮件纠错

读者互动

这篇内容对你有帮助吗？

— 次访问— 累计日独立访问— 条评论

直接说出你的问题