🌴 Sync 2026-10-30 02:13:56

2026-11-14 12:38:03 +08:00 · 2026-10-30 02:13:56 +08:00
1 parent 8d20d896c0
commit 57d68d2cec
@@ -7,6 +7,11 @@ STOP=10

 start() {
 	(
+		# A-14：体检/状态缓存属主为 root，目录 700、文件 600。开机路径
+		# 只做幂等收紧，不主动创建敏感文件。
+		umask 077
+		mkdir -p /etc/isp-split/state 2>/dev/null || true
+		chmod 700 /etc/isp-split/state 2>/dev/null || true
 		i=0
 		while [ "$i" -lt 60 ]; do
 			if nft list table inet mwan3 >/dev/null 2>&1; then
@@ -187,9 +187,9 @@ LINE_CHECK_ENABLE=1
 # 归属地隐私开关：1=允许向第三方查询出口 IP 归属地；0=只关闭归属地查询
 #
 # 开启后，体检会把**每条 WAN 的出口公网 IP**发送给第三方（默认百度，
-# 失败时 ip-api.com）查询归属地。只发送出口 IP，不发送内网地址、设备名、
-# MAC、流量内容。ip-api 使用 HTTP，传输不加密；介意时请设为 0，或把
-# LINE_CHECK_GEO_PROVIDER 固定为 baidu。
+# 默认只走百度 HTTPS）查询归属地。只发送出口 IP，不发送内网地址、设备名、
+# MAC、流量内容。ip-api 是显式选项且使用 HTTP 明文，不是默认兜底；介意时
+# 请设为 0，或把 LINE_CHECK_GEO_PROVIDER 固定为 baidu。
 # 关闭后不发起任何归属地请求，卡片显示「归属地：未查询（隐私开关关闭）」。
 # 省/市不可知，但仍可用本地 @isp_* 集合判断运营商大类，不需要外发。
 # 注意：此开关只关归属地；出口 IP 回显、STUN 与延迟探测仍会外发。
@@ -197,7 +197,7 @@ LINE_CHECK_ENABLE=1
 LINE_CHECK_GEO=1

 # 归属地服务商：auto | baidu | ip-api | off
-#   auto   先百度（HTTPS、国内可达），失败转 ip-api（HTTP）
+#   auto   只走百度（HTTPS、国内可达）；ip-api 不再自动兜底
 #   baidu  只用百度；失败显示「归属地未知」，不会自动转 HTTP 源
 #   ip-api 只用 ip-api（HTTP，明文）
 #   off    等同 LINE_CHECK_GEO=0
@@ -244,7 +244,10 @@ stun.cloudflare.com:3478
 "

 # 出口 IP 回显服务（逗号分隔，按顺序尝试）。只用于拿公网出口 IP。
-LINE_CHECK_ECHO_URLS="https://api.ipify.org,https://ipv4.icanhazip.com"
+# F-23：默认回显源改为国内可达的 HTTPS 服务，按顺序尝试。允许返回裸 IP
+# 或含 IP 的文本（如 ipip.net 的“当前 IP：x.x.x.x”），取第一个合法 IPv4。
+# 不要放境外 api.ipify.org / icanhazip.com：国内运营商网络经常 RST/超时。
+LINE_CHECK_ECHO_URLS="https://ip.3322.net,https://myip.ipip.net,https://ddns.oray.com/checkip"

 # 体检请求的 User-Agent。部分运营商站点对默认 curl UA 返回 412/418，
 # 必须带浏览器 UA；不要改成空值。
@@ -9,6 +9,10 @@

 /etc/init.d/isp-split enable >/dev/null 2>&1

+# A-14：state 首次创建就 700；旧版本留下的 755 也在这里纠正。
+mkdir -p /etc/isp-split/state 2>/dev/null || true
+chmod 700 /etc/isp-split/state 2>/dev/null || true
+
 # 启用每日更新（只改数据，不重写 mwan3 配置）
 if [ -x /etc/init.d/cron ]; then
 	mkdir -p /etc/crontabs