安全模型
为明确的本地代理采用保守默认值
CellRoute 面向可信本地入口、身份认证和受控目标，降低开放代理和服务端请求类风险，但不能替代更完整的网络安全系统。
默认仅本地入口
- 仅允许局域网客户端或明确可信来源。
- 不要通过路由器端口映射或公网防火墙规则暴露监听端口。
- 保持身份认证开启，使用高强度随机密码并定期重新生成凭据。
目标地址保护
默认拒绝私有、环回、链路本地、组播、CGNAT 100.64.0.0/10 和 IPv6 ULA 地址。域名经蜂窝 DNS 解析后还会再次检查返回 IP，避免仅凭域名绕过限制。
流量隐私
- HTTPS CONNECT 只建立 TCP 隧道，不解密 TLS、不安装 CA、不读取 TLS 明文。
- 不记录请求正文、Cookie、Authorization 或 Proxy-Authorization。
- 不记录 Google Play purchase token。
- 诊断日志会对目标与标识信息脱敏。
凭据存储
- 代理密码通过 Android Keystore 支持的 AES/GCM 加密保存。
- 不允许空密码。
- 凭据比较采用常量时间实现。
- 连续认证失败会受到速率限制。
安全边界
本地代理不能替代 VPN、企业零信任网关、防火墙、入侵检测系统、匿名服务或完整设备流量控制。客户端应用与目标服务仍需负责自身安全和端到端加密。