代理模式

WPE 自己变成一台 SOCKS5 代理服务器。不需要注入：明文 HTTP 直接进列表，HTTPS 配上 HTTPS 映射规则与 WPE 根证书即可解密；账号体系、防火墙、映射，以及内置 mihomo 内核的进程接管都在这条路上。手机与其他电脑用代理客户端 WPC 接入。

01 · 主界面导览

01代理模式主界面 · 左侧 15 项导航，统计条比注入模式更丰富。

1. 左侧导航：Data（代理数据 / 客户端列表 / 账号列表）· Rules（滤镜 / 发送 / 机器人 / 仓库 / 解码器 / 取值器）· Tools（统计 / 文本对比 / 编码解码 / 数据提取）· System（WPC 配置 / 系统日志），共 15 页。右端是实时计数
2. 状态条：状态灯 + 运行中 / 未启动 · SOCKS5 监听地址 · TUN（内置内核是否已接管选中的进程，未就绪时压暗、悬停出说明）· 一枚表盘图标加运行时长（悬停出「已运行」）；右端依次是「专注列表」「开始代理 / 停止代理」「清空」「设置 ▾」
3. 专注列表：状态条右端的切换按钮。开启后收起统计格、下半部与丢包提示，把高度让给封包表；状态条与常用操作仍在，再点一次恢复
4. 统计格（7 × 2）：第一行 代理总数 · TCP 连接数 · UDP 连接数 · 在线/账号 · 已过滤（被「过滤设置」挡在列表外的条数）· 缓存区 · 字节数；第二行 TCP 请求 / 响应 · UDP 请求 / 响应 · HTTP 请求 · 响应 · 实时速率。字节数与速率那两格的小字是 ↑ 请求 / ↓ 响应 的拆分
5. 「HTTP 请求 · 响应」只统计明文 HTTP；HTTPS 是加密的，要看明文得先用 HTTPS 映射 + 根证书解密
6. 封包列表：比注入模式多「协议」与「域名」两列（代理这一侧知道这条连接是 TCP / HTTP / HTTPS 还是 WebSocket）。命中滤镜的行整行着色
7. 下半部：左边快捷面板（滤镜 / 发送 / 机器人 / 仓库 / 解码器 / 取值器 六个页签），右边十六进制面板
8. 底部状态栏右端常驻 SOCKS5 的监听地址与运行状态 —— 那是这一屏最该随时看得见、又不在指标板里的东西

「设置 ▾」12 项一览

02 · 代理设置

02代理设置 · 启动服务前必看的一页。

1. 监听地址：勾「代理服务的 IP → 自动检测」就听 0.0.0.0；取消勾选后到下面的「指定地址」下拉里挑一个 本机 地址（那个下拉列的就是本机各网卡的 IP）。⚠️ 不勾又不挑会被拦下来（提示「请选择监听地址，或勾上「自动检测」」）
2. SOCKS 代理：启用 SOCKS5 + SOCKS5 端口（默认 1080）+ 启用身份认证 + 最大连接数。这是主路径 —— 滤镜、发送、机器人都在这条路上，而且 关掉它服务就起不来（保存时直接报「代理类型未设置」）
3. 最大连接数不是随手填的数字：服务启动时按「连接数 × 每连接缓冲」一次性预留内存，所以输入框旁边直接写着每个连接的内存估算与本机上限（按物理内存算）。填超过上限的值，保存时会被拒绝并写明原因
4. 只允许 WPC 客户端：打开后，普通 SOCKS5 客户端即使账号密码正确也会被拒绝，并在系统日志里记下这一次拒绝 —— 想把这个端口只留给自己的设备时打开它。⚠️ 它需要先启用身份认证
5. 系统代理：滑动开关，立即生效不等保存 —— 它改的是注册表里的 Internet 设置，形态上就和要按保存的项区分开
6. HTTPS 映射根证书：要读 HTTPS 明文，先在这里创建根证书并点「信任」装进本机；再选好格式导出，装到要抓的设备上。是否解密由「映射设置」里已启用的 HTTPS 映射规则决定 —— 没有规则时 HTTPS 照常直通，不解密
7. ⚠️ 服务运行时监听相关的项会被锁住：这些项只在启动服务时生效，要改请先停止代理
8. 端口范围 1~65535

证书导出格式

证书安装步骤（本机 · 模拟器 · 安卓 · iOS · 火狐）

导出的证书必须装成「受信任的根证书」才会被采信；装好后回到「代理设置 → 根证书」，「状态」一栏应显示为已信任。下面命令里的 WPE64.cer、WPE64.crt、WPE64.pem、9a7ae4b0.0 都是上表导出的文件名。

① 本机 Windows

1. 在 WPE 里创建并信任：到「代理设置 → 根证书」点 创建，再点 信任，即装入当前用户受信任根证书存储。
2. 或手动安装：导出 Cer 证书（二进制格式），双击 WPE64.cer → 安装证书 → 存储位置选「本地计算机」（需要管理员）→ 选「将所有的证书都放入下列存储」→ 选「受信任的根证书颁发机构」→ 完成；弹「安全性警告」时点「是」。
3. 装到哪儿要核对：装进「个人」或「当前用户」存储时，部分程序仍不采信；要用 Win + R 运行 certlm.msc 核对，在「受信任的根证书颁发机构 → 证书」里能看到 WPE64 才算成功。

② 安卓模拟器（MuMu / 雷电 / 夜神 / 蓝叠 / AVD）

1. 先打开模拟器的 root：MuMu、雷电、夜神等在设置里有 root 开关，通用 AVD 先执行 adb root。
2. Android 7 及以上：导出 安卓系统证书（9a7ae4b0.0），依次执行 adb push 9a7ae4b0.0 /sdcard/ → adb shell → su → mount -o rw,remount /system → cp /sdcard/9a7ae4b0.0 /system/etc/security/cacerts/ → chmod 644 /system/etc/security/cacerts/9a7ae4b0.0 → reboot。
3. 系统证书在只读分区时：部分新版本把证书放在 /apex/com.android.conscrypt/cacerts/，需先 mount -o rw,remount /apex，或用 Magisk 模块把证书挂进去，改完都要重启。
4. Android 6 及以下或只想给浏览器用：导出 Crt 证书 或 Cer 证书，adb push 到 /sdcard/，再到 设置 → 安全 → 加密与凭据 → 从存储设备安装 → CA 证书，装成用户证书。
5. 核对：设置 → 安全 → 加密与凭据 → 信任的凭据，在「系统」一栏里能看到 WPE64；重启模拟器后再抓 HTTPS。

③ 安卓手机

1. 把证书传到手机：用数据线、微信文件传输、网盘或邮件，把导出的文件发到手机本地存储。
2. Android 6 及以下：设置 → 安全 → 加密与凭据 → 从存储设备安装 → CA 证书，选文件装为「用户证书」，浏览器与声明信任用户证书的程序立即生效，无需 root。
3. Android 7 及以上：App 默认不再信任用户证书，要看 App 的 HTTPS 必须 root 后装系统证书 —— 把 安卓系统证书（9a7ae4b0.0） 推到 /system/etc/security/cacerts/（命令同上面的模拟器一节），权限 644，重启。
4. 不能 root 时：只能装用户证书，且只有少数声明信任用户证书的 App 会认，多数 App 与浏览器仍视为不受信任；这类目标请改用 注入模式。

④ iPhone / iPad（iOS）

1. 传证书：导出 Cer 证书（二进制格式），用「隔空投送」或邮件附件发到 iPhone；也可以把 WPE64.cer 放在可访问的网页上，用 Safari 打开下载。
2. 安装描述文件：点开 WPE64.cer → 提示「已下载描述文件」→ 设置 → 通用 → VPN 与设备管理 → 已下载的描述文件 → 点 WPE64 → 右上角「安装」→ 输入锁屏密码，弹「未签名」时再点一次「安装」。
3. 打开完全信任（最容易漏）：设置 → 通用 → 关于本机 → 证书信任设置 → 打开 WPE64 那一行的开关 → 点「继续」。iOS 10.3 起只装描述文件不生效，必须走这一步。
4. 核对：完成后再用 Safari 打开 HTTPS 页面不再提示证书不受信任；描述文件可在「VPN 与设备管理」里随时移除。

⑤ 火狐浏览器 Firefox

1. Firefox 用独立证书库：它默认不读 Windows 的系统证书存储，所以即使本机已装，也要在 Firefox 里再导入一次。
2. 导出文本格式：选 Crt 证书 或 Pem 证书，两者都是文本格式，Firefox 都认。
3. 导入：Firefox 菜单 → 设置 → 隐私与安全 → 拉到最下面「证书」→ 查看证书 → 切到「证书颁发机构」→ 导入 → 选 WPE64.crt 或 WPE64.pem。
4. 勾选信任：导入窗口里勾上「信任由此 CA 标识的网站」，确定即可。
5. 核对：同一处「证书颁发机构」列表里能看到 WPE64；若仍报错，确认导入的是 WPE 导出的文件，别装成别家 CA。
6. 可选：想让 Firefox 直接跟随系统证书存储，可在 about:config 里把 security.enterprise_roots.enabled 设为 true；非企业环境不推荐，单独导入更干净。

启动服务时发生了什么

1. 确定监听地址：按「自动检测」决定 TCP / UDP 绑定的 IP。
2. 启动 SOCKS5 服务：开始监听，空闲的会话会被自动清理，并启用 IP 连接过滤（防火墙在这一层生效）。

03 · 进程设置 · mihomo 内核

让指定进程的流量 在系统层被强制导向代理，不需要目标程序自己支持代理设置。

03进程设置 · mihomo 内核 · 选择 TUN 栈、DNS 模式与需要接管的进程。

1. 数据链路：目标进程 → mihomo TUN → WPE SOCKS5 → 抓包与滤镜。状态条会显示内核与 TUN 是否就绪。
2. 01 Mihomo 内核：启用后可选择 system、gvisor 或 mixed TUN 栈，以及 DNS 模式。
3. 02 拦截进程：按进程名勾选当前运行的程序；名称会作为设置保存。列表未列出时可在手动指定进程中以分号分隔填写。
4. 代理服务是否启动仍在「代理设置」管理；进程设置只负责内核与进程名单。
5. ⚠️ 未启用内核或未选择进程时，流量不会进入 WPE SOCKS5，滤镜也就不在链路上。

TUN 栈选择

「检测代理」的错误信息对照

04 · 拦截设置与拆包

两组：抓哪些方向，以及要不要把 TCP 字节流按包头切开。

04拦截设置 · 上面四个方向开关，下面是拆包。

1. 01 抓取方向：TCP 请求 / 响应、UDP 请求 / 响应四个开关。只有勾上的方向会被抓，其余方向直接转发——不进列表、也不跑滤镜
2. ⚠️ 界面上那句灰字要看清：抓取方向仅本次运行有效，重启后回到全部开启；下面的拆包设置则会保存
3. 02 拆包设置：TCP 是 字节流，一次 recv 可能含好几个应用层封包（粘包），也可能只含半个。打开总开关后维护一张有序规则表，完整帧才会独立进入滤镜、列表和转发
4. 每条规则有名称、启用状态、方向（双向 / 请求 / 响应）、包头和长度字段；规则顺序是首次命中优先级。包头是十六进制，例如 01 00 00；长度字段位置从 1 开始计数
5. 它只用于代理模式 TCP：UDP 与注入模式不使用。请求和响应各自保留跨接收的半包；同一方向首次成功拆帧后固定使用该规则到连接关闭

05 · 外部代理（链式级联）

让 WPE 的 SOCKS5 服务把流量再 转给上游 SOCKS 代理，用于换出口 IP 或串联其他工具。

06外部代理设置 · 一个开关、一个地址，外加按端口挑流量。

1. 外部代理：总开关。开启后 WPE 的 SOCKS5 出口再经这个外部 SOCKS 代理出去——抓包仍在 WPE 这一层，只是最后一跳换了人
2. 代理地址 + 端口，右边的 检测代理 会 真的连一次并跑完握手，不是只 ping 一下
3. 指定端口：只对这些目标端口走外部代理，逗号分隔；不勾就全部都走。适合「只让游戏端口换出口、其余直连」
4. 需要认证：上游代理要账号密码时勾上
5. ⚠️ 这一层与 进程设置 是两件事：那个管「流量怎么进 WPE」，这个管「流量从 WPE 怎么出去」

06 · 映射设置

两个独立功能，各有开关。这是 改 HTTP 内容的正确入口——滤镜管不到 HTTP 类别的包。

08映射设置 · 上半本地映射，下半远程映射，各带一张规则表。

1. 映射支持 HTTP 与 HTTPS。HTTP 在完整请求头到达后按主机、端口和路径匹配；HTTPS 需要匹配到已启用的映射且根证书已受信任，当前仅支持 HTTP/1.1。
2. 01 本地映射：把某个远端地址的响应换成本地文件。规则是「远端地址 → 本地文件」，命中就直接把文件内容当响应返回
3. 02 远程映射：把某个请求地址改写到另一个地址。规则是「请求地址 → 映射地址」
4. 两组各自有 新增 / 导入 / 导出 / 清空 与一个条数；没启用的行整行压暗
5. ⚠️ 地址列很长时 省略号开在左边（…example.com:80/config.json）——从右边截会把每一行都一样的 http:// 留下、把真正要读的路径尾巴切掉
6. ⚠️ 底下那句写着：「保存」只管两个总开关；表里的增删改已经各自落库
7. 协议固定 http://：映射只对 HTTP 请求生效

本地映射 · 把远端资源换成本地文件

远程映射 · 把请求重定向到另一个地址

两个列表都支持右键「置顶 / 向上移动 / 向下移动 / 置底 / 导出 / 复制 / 删除」，并可导入导出为 .pml（本地映射）与 .pmr（远程映射）。

07 · 防火墙

作用在 SuperSocket 的连接过滤器上，即 在 TCP 连接建立阶段 就放行 / 拒绝，代价极低。

09防火墙设置 · 模式二选一 + 自动规则 + 两份名单。

1. 启用防火墙：总开关。关着时下面的 工作模式与自动规则会压暗（它们描述的是「防火墙怎么工作」，关掉就没有意义）
2. 工作模式：白名单模式 = 默认拒绝、只放行名单里的；黑名单模式 = 默认放行、只拒绝名单里的。⚠️ 白名单模式下 名单为空 = 谁都连不上，这是设计如此
3. 自动规则：认证成功的 IP 自动进白名单；认证失败的、不支持 SOCKS 协议的自动进黑名单；屏蔽时长两条规则共用；「自动清理已过期的 IP」
4. 名单：白 / 黑两个页签，每条可以是单个 IP 也可以是一段范围，带所属地、生效次数与过期时间
5. ⚠️ 关着防火墙也能编辑名单（先把要放行 / 要拦的 IP 备好、回头再开启），这时会出一行琥珀提示说明「现在还不生效」

08 · 代理账号

开启「身份认证」后，客户端必须用这里的账号密码。

10账号列表 · 工具条 + 到期区间 + 账号表格 + 行内操作。

1. 工具条：新增账号 / 批量创建 / 到期区间（两个日期框）/ 搜索 / 导入 / 导出 / 清空。窄窗口下工具条会折成两行，搜索框会先让位
2. 「启用」列 是唯一的勾选框，一律是绿的 —— 点它立刻改这个账号的启用状态并落库。选中行不用勾选框：单击选中、Ctrl 加选、Shift 连选，与资源管理器一致
3. 禁用的行整行压暗，但勾选框那一格除外 —— 它正是用来把这一行重新点亮的控件
4. 表头可排序：升 → 降 → 回到原始顺序 三档。IP 与日期按数值排，「不限制 / 永不过期」排到最后
5. 右键菜单：批量调整 ▸（过期时间 / 链接数 / 设备数）· 批量导出 · 批量删除 · 全选 / 取消选择，前三项带着选中的条数。启用状态在「启用」列里点，登录记录 是「操作」列里的按钮。⚠️ 右键只开菜单、不动选中集；一个都没选时菜单项照样能点，点下去会提示「请先勾选」—— 压暗只说「不能点」，不说为什么
6. 账号再多（上万个）也能流畅滚动、搜索
7. ⚠️ 限制连接数 / 设备数不能填 0：最小为 1，填 0 会自动按 1 处理（不管是在程序里、远程管理台还是通过 CCProxy 兼容接口修改）

账号编辑

批量创建与批量调整

批量创建（工具条按钮）：「生成规则」里先选 用户名 的生成方式 ——「时间 + 序号」或「前缀 + 序号」（选后者再填前缀），再填 数量（默认 10）与 密码长度（默认 6）；「限制」里按需勾链接数 / 设备数与「设置过期时间」（不勾就是无限制 / 永不过期）。然后在「预览」里点 生成，表格列出 序号 / 用户名 / 密码，已存在的用户名会提示保存时跳过，不想要的行可以单独删掉；导出 把预览结果存成文件，确认无误再点 保存 写入。

批量调整：先选中多个账号再右键：

• 批量调整 ▸ 过期时间：「增加时长」填 N 并选 小时 / 天，「从哪算起」选「原有到期时间」或「当前时间」
• 批量调整 ▸ 链接数 / 设备数：统一设置或取消限制
• 批量导出 / 批量删除（有二次确认「确定删除 N 个账号吗?」）

09 · 客户端列表

上下两张表：上面是已认证的客户端，下面是选中那个客户端 当前开着的连接。

11客户端列表 · 上半客户端，下半连接明细。

1. 上半部：认证时间 / 用户名 / IP 地址 / 客户端地 / 链接数 / 设备数 / 流量统计 / 在线（分钟） / 设备标识。客户端地带国旗图标，由 QQWry 离线库解析
2. 设备标识（最后一列）：只有 WPC 连接才有——显示为截断的设备指纹、绿色，悬停能看到全文与客户端版本（如 WPC 1.2）；普通 SOCKS5 客户端是「—」。它正是账号「设备数」上限在数的那个东西，所以这一格不是「—」就是 WPC
3. 下半部「连接明细」：选中上面一行 才有内容——列出这个客户端此刻开着的每一条连接
4. WPC 控制连接：WPC 那条常驻的控制连接会单独标成 WPC 控制连接 · WPC · —（绿色，目标是空的）——它本来就不连任何目标，不是一条坏连接
5. 表头可以点着排序（升 → 降 → 回到原始顺序）。IP 按 数值 排，不是按字符串——否则 10.10.10.9 会跑到 10.10.10.10 后面
6. 右键菜单可以把某个 IP 直接拉进防火墙黑名单，见 07 节
7. ⚠️ 这张表没有「认证结果」一列：认证 没通过的根本不会进来，那一列只会恒为「通过」，一个字的信息量都没有
8. 经本机进程接管进入的连接会显示为本机地址；进程名单在「进程设置」中管理。

10 · 用 WPC 接入手机 · 模拟器 · 另一台电脑

注入模式只能抓 本机某个进程。要抓 Android 手机、局域网或外网的另一台电脑，推荐在设备上装代理客户端 WPE Proxy Cap（WPC）：它用虚拟网卡（Windows 版）或系统 VPN（手机版）接管设备的流量，按节点的转发规则把需要的那部分经 SOCKS5 交给 WPE，不用在设备上逐个程序填代理。WPC 有 Windows 版 1.2 与 Android 手机版 1.1；均可在 下载中心 下载。

各类设备怎么接

要看 HTTPS 明文：HTTPS 映射 + 证书

经 WPC 进来的连接走的是 SOCKS5：数据进「代理数据」列表的 TCP / UDP 类别，滤镜 照常可以改；目标端口 80 / 8080 的 HTTP 请求还能用 映射设置 改。但 SOCKS5 这条路 不解密 HTTPS，443 / 8443 上看到的是加密字节。

要看 HTTPS 明文要三步：① 在「映射设置」里为要看的域名建一条 已启用的 HTTPS 映射规则（没有规则时 HTTPS 照常直通、不解密）；② 在「代理设置 → 根证书」里 创建 并点 信任，装进本机；③ 选好格式 导出，按下表装到发起请求的设备上。设备的流量经 SOCKS5（WPC 或客户端直连）进来即可，不再需要把设备指向某个单独的代理端口。

WPC 接入 · 故障对照

11 · 本章故障排查