Clash のリモートルールセットは安全か：rule-providers の提供元、更新、改ざんリスクを確認する

Rule Provider（rule-providers）の内容と設定内のルール順序、特に先頭に近い DOMAIN-SUFFIX ルールを確認します。ルール集合が直接パスワードを読むことはありませんが、直接接続、プロキシ、拒否の判断に関わります。範囲が広すぎると、銀行、会社の管理画面、内部ネットワークでのログインのリクエストが未知のノードを通る可能性があります。出所不明で自動更新され、戻す手段もない場合は、こうした変更を確認してください。

接続記録に想定外のポリシーが出たら、以前の信頼できるルールのバックアップがあれば復元し、なければこの Provider のルール参照を一時的に外します。設定を再読み込みして既存接続を切り、発生時刻、Provider 名、一致した項目、最終出口をリポジトリの変更と比較して、誤収録、ローカルの順序違い、リモートの内容の置き換えを区別してください。

ブランチのアドレスはコミットのたびに内容が変わるため、信頼済みで更新が必要なルールに適しています。コミットハッシュのアドレスは内容が固定され、銀行や会社への直接接続など、変更が少なく影響の大きいルールに適しています。二つは併用でき、すべての入手元を一時間おきの更新に設定する必要はありません。

OWNER、REPO、COMMIT、REPLACE_WITH_POLICY はすべてプレースホルダーであり、コピー後にそのまま有効にすることはできません。確認済みのリポジトリ、固定コミット、既存のポリシーグループへ置き換えてください。

behavior と format はリモートの内容に合わせ、path にはコアが許可し、書き込める場所を指定します。ルール参照は MATCH より前に置きますが、会社のネットワーク、LAN、直接接続が必須の高優先度ルールより前には置かないでください。

更新に成功したら、ルール数と更新時刻を確認し、よく知っているドメインを数件選んで一致を確認します。画面に「更新完了」と表示されただけでは、現在の実行時設定が新しいファイルを実際に参照していることを証明できません。

独立した確認用ディレクトリにrules.last.yamlを用意します。内容は、すでに確認して信頼できる前回のルールのバックアップにしてください。rules.new.yamlは今回確認するダウンロードファイルです。名前や場所が違う場合は実際のパスに変更し、候補ファイルを使用中のProviderキャッシュへ直接書き込まないでください。

以下のコマンドは一つずつ実行します。RULE_URLを、信頼できるリポジトリの特定コミットに固定した実際のURLへ変更してください。ダウンロードに失敗したら止め、残っているかもしれない古いファイルのハッシュ計算や比較を続けないでください。前回の信頼できるバックアップがなければ候補の内容を確認するだけで、diffの結果がないことを「変更なし」とは判断できません。

macOS では sha256sum の代わりに shasum -a 256 を使用できます。ハッシュで分かるのは、二つのファイルが同じかどうかだけで、内容自体の信頼性は証明できません。実際に確認すべきなのは、追加項目と削除項目、リポジトリのコミット説明、ルールのテーマが一致しているかどうかです。

ファイルが数千行から突然数十行へ減った場合、先頭に <!doctype html> が現れた場合、動画用ルールへ多数のアカウントや銀行ドメインが一度に追加された場合は、自動更新を停止してください。