Clash by Hako：加密 MITM 插件让用户失去代码可见性与 HTTPS 解密控制
Clash by Hako 警告，获得 HTTPS 解密权限的 MITM 插件可以读取和改写明文流量并自行联网；插件一旦加密，用户无法审查脚本，只能信任每次自动更新，抓包也难以发现条件触发行为。文章建议不要给看不见代码的插件解密权限，敏感网站排除在外，不用时关闭 HTTPS 解密。
频道原文@clashbyclash使用MITM 加密插件的隐患：它加密了自己的代码，却能看到用户的密码。
TL;DR：MITM 插件拿到的是你能授予的最高网络权限：解密 HTTPS、读写明文、自行联网。插件一旦加密，你就看不见它做了什么，只能盲信每一次自动更新，抓包也抓不到条件触发的代码。加密挡不住会逆向的人，却挡住了想审查的普通用户，还让你失去修改和迁移的自由。为 MITM 插件提供加密，出发点就错了。你能做的：不给看不见代码的插件解密权限，敏感网站一律排除，不用时关掉 HTTPS 解密。
2026 年 10 月 29 日，币安热钱包被转走约 63 亿至 64 亿美元的资产，大部分在约 20 分钟内完成，创下加密史上最大的盗窃案（Elliptic、Decrypt）。这并不新鲜。2025 年 Bybit 被盗约 15 亿美元，起点是第三方钱包服务 Safe{Wallet} 的一台开发者电脑，签名人最终批准了一笔被篡改的交易。攻击者越来越少去破解密码学，越来越多去攻破那些「被信任的中间环节」。
而很多人的手机里，就有这样一个环节：一个被授予了 HTTPS 解密权限、如今连代码都看不见的 MITM 插件。
在 iPhone 和 Mac 上，Loon、Surge、Quantumult X、Shadowrocket，以及基于开源内核 mihomo 的新版 Clash 客户端，都提供「HTTPS 解密」（也叫 MITM）。装上一个去广告或「解锁会员」的插件，插件里的脚本就能读写原本加密的网络流量。大多数人点「安装」时，并没有意识到自己交出了什么。
这个问题最近变得具体起来。某款闭源收费的商业软件官网居然上线了插件加密工具，可以把插件连同脚本打包成加密的 .lpxe 文件；其生态里一些热门插件作者也开始转向加密分发。用户第一次要面对这样的选择：看不见脚本内容时，还要不要把钥匙交出去？全文：
https://x.com/ClashbyClash/status/2116694703357964555