Shadowrocket 只让指定网站走代理:DOMAIN-SUFFIX 与 FINAL,DIRECT 规则写法

本文速览

在 Shadowrocket（小火箭）中实现“仅指定网站走代理”，需要把 Global Routing 设为 Config，在当前生效配置的 [Rule] 中先写目标域名的 PROXY 规则，最后用 FINAL,DIRECT 收尾。本文适合已经导入自己服务商资料、能正常连接的用户，重点说明规则边界、保存与启用、请求验证和误匹配排查。

一、先确认 Config 模式与代理出口

结论是先检查运行姿态，再编辑规则。Home → Global Routing 决定流量如何处理；只修改 Config 文件，而 Home 仍使用 Proxy 或 Direct，不会得到本文所需的按域名分流结果。服务器资料与规则配置也是两件事：已有服务器能够连接，不代表当前配置已包含正确的域名规则。

界面选项	作用	本文处理
Proxy	以代理姿态处理流量，不按本文的域名白名单分流。	改为 Config 后再测试规则。
Direct	以直连姿态处理流量。	不能用它验证 PROXY 规则。
Config	依据当前选中的配置文件处理流量。	本文使用此选项。
Scene	按场景设置决定运行方式。	排查时先用 Config，减少场景切换带来的变量。

本文示例中的 PROXY 是代理策略，不是服务器地址，也不是把这几个字填进服务器的 Address。使用默认代理策略时，应先在 Home 确认选中的服务器可用；已有配置若使用自定义策略组，还要检查该组的实际选择。DIRECT 表示目标连接直连，不经过代理服务器。

二、DOMAIN-SUFFIX 与 FINAL,DIRECT 的最小写法

若目标是让 example.com 及其子域名走代理，其他目标直连，可把下面片段作为规则部分的起点。这里的域名是说明用示例，需要换成自己的目标域名；片段只包含 [Rule]，不是完整配置文件。

[Rule]
DOMAIN-SUFFIX,example.com,PROXY
FINAL,DIRECT

DOMAIN-SUFFIX 按域名后缀边界匹配。上述规则覆盖 example.com、www.example.com 和 api.example.com，不会因为文字相似就覆盖 notexample.com。规则参数写域名本身，不写 https://、端口、路径或查询参数。

DOMAIN-SUFFIX,example.com,PROXY：域名命中该后缀时，使用 PROXY。
FINAL,DIRECT：前面的规则均未匹配时，使用 DIRECT；这行没有域名参数。
规则使用英文半角逗号分隔；一条规则占一行，不把两条规则粘在同一行。
若只让 login.example.com 这一个主机走代理，可使用 DOMAIN,login.example.com,PROXY，避免扩大到整个站点域名。

Shadowrocket 按规则顺序匹配，先命中的规则决定对应连接的策略。把 FINAL,DIRECT 放在目标域名规则前面，会提前兜底，使后面的规则无法发挥作用。编辑已有配置时也要检查是否存在更早的宽泛规则，不能只在文件末尾追加几行就认为已完成。

三、多个网站与 DOMAIN-KEYWORD 的边界

多个独立站点通常逐行列出更容易维护。一个页面可能同时访问登录域名、静态资源域名和接口域名，这些域名不一定属于同一个后缀。应依据实际请求补充必要规则，而不是看到页面未完整显示，就把所有访问改为代理。

[Rule]
DOMAIN,login.example.com,PROXY
DOMAIN-SUFFIX,example.org,PROXY
DOMAIN-SUFFIX,example.net,PROXY
FINAL,DIRECT

写法	匹配范围	适用判断
`DOMAIN,login.example.com,PROXY`	完整域名等于 login.example.com。	只处理某个主机时使用。
`DOMAIN-SUFFIX,example.com,PROXY`	example.com 与其子域名。	处理同一域名体系时使用。
`DOMAIN-KEYWORD,example,PROXY`	域名中包含 example 字符串。	范围更宽，需核对误匹配。

DOMAIN-KEYWORD 不检查网站归属，也不要求关键词处于某个域名层级。例如 DOMAIN-KEYWORD,example,PROXY 可能同时覆盖 example.com 与 notexample.net。它匹配的是域名，不是网页标题、页面正文或 URL 路径；不能用它实现“同一域名只有某个页面走代理”。

结论：先列域名，再扩大范围

只处理少数网站时，优先使用 DOMAIN 或 DOMAIN-SUFFIX。只有确认多个目标域名确实需要同一个关键词条件时，再使用 DOMAIN-KEYWORD，并用一个包含相同关键词的非目标域名检查边界。

四、保存、启用与验证的五个步骤

修改规则后，需要同时确认文件已保存、配置已选中、运行模式正确和新请求已产生。旧连接可能仍沿用原有会话，单看浏览器里已经打开的页面，不能判定新规则是否生效。

检查出口

在 Home 点选自己已有的服务器，使用 Connectivity Test 检查可达性。测试结果只说明相应测试目标的连接情况，不能替代指定网站的规则验证。
编辑规则

进入 Config，打开准备使用的配置菜单并选择 Edit Config，检查 [Rule]。在现有规则段内调整内容，不要再附加第二个 [Rule]；目标域名规则放在 FINAL,DIRECT 前。
选中配置

保存后回到 Config 列表，选中刚修改的文件。再到 Home → Global Routing 选择 Config，避免仍使用另一份配置或其他运行姿态。
建立新请求

重新连接后访问目标网站，再访问一个不在列表内的网站。必要时关闭旧页面后重新打开，减少浏览器缓存和长连接对判断的影响。
核对记录

在应用内请求记录中检查本次连接的目标域名、匹配规则和实际策略。预期是目标请求命中域名规则并使用 PROXY，非目标请求落入 FINAL 并使用 DIRECT。

验证时一次只改一项。例如目标站点首页可以打开、图片却缺失，应先查看图片请求的域名及策略，再决定是否增加该资源域名。不要同时更换服务器、DNS 和整份规则，否则难以确定是哪项修改改变了结果。

五、已有 GEOIP、IP-CIDR 与 DNS 设置怎么处理

“其他全部 DIRECT”成立的前提，是其他流量没有提前命中代理规则。已有配置中的 GEOIP、IP-CIDR 或远程规则集也可能参与匹配，最后一行写了 FINAL,DIRECT 并不代表前面的代理规则会被忽略。

检查宽泛代理规则：若前面存在覆盖大量地址的 PROXY 规则，不在域名清单里的连接也可能走代理。先在副本中移除与目标无关的规则，再逐条恢复确有需要的内容。
域名与 IP 分开处理：直接访问 IP 地址的连接，不一定有可供 DOMAIN-SUFFIX 匹配的域名。确有固定地址需求时才考虑 IP-CIDR，不要随意把共享地址整体改为代理。
理解 no-resolve：IP-CIDR,192.0.2.0/24,DIRECT,no-resolve 是语法示例；no-resolve 表示该 IP 规则不主动触发域名解析来完成匹配，并不表示整个配置关闭 DNS。
保留地址规则边界：GEOIP 根据 IP 地理归属进行匹配，而非逐个匹配域名；它不能替代精确的目标域名清单。

192.0.2.0/24 是文档示例网段，不应作为真实目标照抄。对于使用动态地址、共享托管或 CDN 的网站，优先维护域名规则；把某次解析得到的 IP 固定进规则，可能在地址变化后失效，也可能影响使用相同地址的其他域名。

六、按现象区分规则问题与连接错误

先看请求有没有按预期命中，再看命中后的连接能否完成。以下是连接诊断中可能遇到的英文错误，具体呈现以应用内记录为准；错误本身不能证明某一条域名规则写错。

Connection refused

原因：连接被目标端或中间设备明确拒绝，常见于地址对应端口没有接受连接的服务。解法：若记录显示走 PROXY，核对 Home 中所选服务器的 Address、Port 与已有资料是否一致；若走 DIRECT，检查网站目标及端口，不先修改 FINAL。

Connection timed out

原因：连接在等待期限内未完成，仅凭超时不能确定是出口、目标还是网络路径的问题。解法：先核对本次请求命中的策略，再用 Connectivity Test 检查选中服务器，并分别测试目标域名和一个非目标域名。

如果没有连接错误，但所有网站都走代理，优先检查 Home → Global Routing 是否仍为 Proxy，以及 [Rule] 前部是否残留宽泛 PROXY 规则。如果只有一个站点未按预期分流，优先核对实际请求域名，不要仅凭浏览器地址栏判断。

目标命中 FINAL：核对域名拼写、配置是否选中，以及访问是否直接使用 IP。
目标命中 PROXY 仍失败：检查所选出口可达性，以及网站是否还有其他必要域名走了不同路径。
非目标也命中 PROXY：检查 DOMAIN-KEYWORD 是否过宽，或前面是否存在其他代理规则。
保存后行为未变：确认编辑的是当前配置，并重新建立连接后再查看新请求。

七、指定网站分流的常见问题

我只想让一个子域名走代理，怎么写？

使用 DOMAIN,api.example.com,PROXY，并放在 FINAL,DIRECT 前。若希望 api.example.com 及其下级域名都走代理，再改为 DOMAIN-SUFFIX,api.example.com,PROXY；不要直接写整个 example.com 后缀。

网站能打开，登录和视频却失败了？

查看操作发生时的新请求，找出登录接口或媒体资源实际使用的域名。只有确认这些域名属于需要代理的访问链路后，才逐行补充规则；浏览器地址栏的主域名并不代表页面全部请求。

更新服务器订阅会把规则改掉吗？

服务器订阅负责更新服务器资料，Config 中的规则文件是另一项内容。先确认更新的是服务器订阅还是远程配置文件；后者可能替换本地编辑内容，因此修改前应保留副本，更新后再核对 [Rule]。

启用 On Demand 后，还需要这些规则吗？

需要。Settings → On Demand 管理按需连接条件，不代替 [Rule] 的目标匹配。若排查时连接状态自动变化，先记录 On Demand 设置，在可控的连接状态下验证 Config 规则，再恢复所需的自动连接条件。

可以按网址里的路径来分流吗？

DOMAIN、DOMAIN-SUFFIX 和 DOMAIN-KEYWORD 都不是路径匹配规则。不要把 example.com/video 填进域名字段；本文方案以域名或主机为边界，不能用这三种规则区分同一主机下的不同页面路径。