决定bypass-system的开关状态，核心是权衡系统服务稳定性与全局IP一致性之间的优先级。对于绝大多数用户，保持bypass-system = true是最稳妥的选择，它能确保系统时间同步、推送通知和App Store更新等基础服务的独立稳定运行，不受代理节点状态波动的干扰，同时减轻代理隧道的不必要负载。只有特定解锁需求（如访问区域限制的App Store内容）或极致的隐私匿名场景下，才考虑切换至false模式。建议用户创建两份配置文件分别对应两种设置，根据不同使用场景一键切换，或在快捷指令中建立基于WiFi名称的自动化规则。切换后通过检查系统时间同步是否准确、推送通知是否及时以及App Store更新速度的变化来评估实际影响，据此微调最终选择。长期保持true模式并定期评估是否需要临时切换，是兼顾稳定与灵活的最佳实践。
参数在配置文件中的定位与作用域
bypass-system在General段落中的角色
bypass-system = true是Shadowrocket配置文件[General]段落中的一个全局参数，它控制着代理是否接管系统级别的网络流量。当设置为true时，系统自身的网络服务（如时间同步、推送通知、软件更新等）会绕过代理直连；当设置为false时，所有系统服务流量也会被强制送入代理隧道。这个参数的定位是区分用户主动发起的应用流量与系统后台服务的底层网络行为。
该参数与分流规则的层级关系
bypass-system的优先级高于常规的分流规则。无论规则列表中如何配置，只要该参数生效，系统级流量就会按照其设定执行直连或代理。这意味它是在规则引擎之前的一道预过滤闸门，专门针对操作系统自身的网络活动进行干预。用户需理解它并非取代规则，而是在规则处理前预先划分出系统流量的特殊处理通道。
参数生效的网络层次范围
该参数仅影响系统核心服务和后台进程的网络请求，包括网络时间协议（NTP）、推送通知服务（APNs）、iCloud同步、系统更新检查等。它不涉及用户手动打开的浏览器或第三方应用的流量，这些仍由常规的分流规则控制。理解这一作用范围有助于判断该参数是否真正影响用户关心的网络行为，避免过度干预与误解。
bypass-system = true的具体行为分析
系统服务直连带来的网络行为
当设置为true时，iOS系统的各项后台服务将完全绕过Shadowrocket的代理隧道，直接通过当前物理网络接口发起请求。这意味着系统时间同步会直接访问Apple的NTP服务器，推送通知通过直连维持与APNs的长连接，iCloud照片流同步也走本地网络通道。这些流量不受代理规则约束，即使代理节点出现故障，系统服务仍保持独立的网络活动。
代理隧道负载的减轻与专注度提升
将系统服务排除在代理之外显著减少了代理隧道需要处理的无关流量，使Shadowrocket能将带宽和CPU资源集中用于处理用户的应用请求。系统服务通常频繁但数据量小，但这些小数据包的心跳保活可能占用连接资源。直连它们能降低代理连接的维护成本，减少因系统服务心跳干扰导致的节点超时误判，使隧道状态更清晰。
连接失败时系统服务的独立存活能力
当代理节点出现故障或网络切换时，若bypass-system = true，系统服务仍能通过直连通道维持基本功能。用户可能会发现代理断了但推送通知照常接收、时间仍然同步正确，这对于设备的基础可用性至关重要。反之若设置为false，节点故障会导致系统服务一同失效，可能造成通知延迟、时间错乱等问题，放大单点故障的影响范围。
bypass-system = false的具体行为分析
系统服务完全走代理的强制隧道模式
当设置为false时，所有系统级的网络请求都被强制送入Shadowrocket的代理隧道，没有任何例外。系统时间同步、推送通知、iCloud备份、App Store更新检查等全部经过节点转发。这种模式下，设备对外呈现的IP地址统一为代理节点的出口IP，系统服务的地理位置信息与代理节点所在地一致，在某些场景下可用于解锁地理限制的系统服务。
全局IP一致性与隐私保护的提升
通过强制系统服务走代理，设备的所有网络活动（包括底层后台请求）都使用相同的出口IP，消除了因系统服务直连而暴露真实网络位置的风险。对于注重匿名性的用户，这种全局统一的IP策略增强了隐私保护，避免了因系统服务直连导致的IP片段泄露。地理位置追踪者无法通过分析系统服务的连接模式来推断用户的真实位置。
节点故障导致系统功能全面瘫痪的风险
false设置的最大代价是节点可用性直接影响系统基础功能。一旦代理节点掉线、超时或带宽耗尽，不仅是用户应用无法访问，设备的时间同步、推送接收、云备份等底层服务也会停止工作。用户可能遭遇“明明WiFi正常但收不到推送”或“系统时间无故错乱”等难以直观联想到代理问题的故障，增加了故障排查的复杂性。
启用与关闭的适用场景对比
家庭网络与移动网络下的差异化策略
在稳定的家庭WiFi环境中，直连的系统服务能获得低延迟响应，因此bypass-system = true是合理选择。而在公共WiFi或不受信任的移动网络中，为防止本地网络监控系统服务的明文流量，可考虑设置为false，让代理隧道加密所有网络活动。用户应根据当前网络环境的安全级别动态调整该参数，而非固定使用单一配置。
解锁区域限制系统服务的需求判断
若用户需要访问特定地区的App Store内容（如日区或美区商店），且该服务会根据IP地理位置限制访问，则需将bypass-system设为false，使App Store的流量也经过代理。同理，iCloud照片流若受地区版权限制，也需代理其流量。这类解锁需求是决定是否关闭该参数的关键因素，无此类需求的用户则保持开启即可。
节点性能与系统服务质量之间的权衡
当节点性能有限（带宽小、延迟高）时，强制系统服务走代理会挤占有限资源，降低用户实际浏览体验。此时开启true直连系统服务更为合理。若节点性能充裕且稳定性高，则false带来的全局IP一致性和隐私收益超过性能成本。用户需评估节点规格与自身带宽需求，做出符合实际资源状况的选择。
对日常使用体验的具体影响
推送通知的及时性与代理状态的关联
bypass-system = true时，推送通知通过直连的APNs通道接收，不受代理状态影响，通知到达及时且稳定。若设为false，推送流量经过代理后可能因节点延迟而稍有滞后，且在节点切换时可能造成短暂的通知丢失。对于依赖即时通知的用户，true能保障最可靠的通知体验。
App Store更新与下载的代理行为
App Store的更新检查和下载流量在bypass-system = true时完全直连，下载速度取决于本地网络质量。设为false时，更新流量经过代理，若节点位于海外，下载速度可能受国际带宽限制而显著降低。用户若经常遇到App Store更新缓慢，可尝试开启true以获取本地直连的下载速度提升。
设备时间同步与证书验证的稳定性
系统时间同步（NTP）在true模式下直连，能快速校准时间，确保证书验证基于准确时间。false模式时，NTP请求经过代理可能因节点延迟导致同步偏差，而证书验证对时间敏感，微小偏差可能引发证书有效性判断错误。保持true能从根本上避免此类关联问题。
如何根据自身需求决定开关状态
普通用户的最佳默认选择
对于绝大多数没有特殊解锁需求的普通用户，强烈建议保持bypass-system = true为开启状态。该设置能确保系统基础服务的稳定性和响应速度，避免因节点问题导致的推送延迟、时间错误等故障。同时它减少了代理隧道的无关流量，提升了节点资源的利用率。这是经过广泛实践验证的最稳妥默认配置。
注重匿名性与全局IP统一的配置思路
对于将隐私保护置于首位、需要完全隐藏真实网络足迹的用户，可考虑将该参数设为false，使包括系统服务在内的所有流量均通过代理，实现IP出口的统一。但需配套使用稳定性极高的节点，并接受系统服务响应可能略有延迟的代价。建议在使用公共或不受信任网络时临时切换至false，家庭信任网络中仍保持true。
动态切换与配置文件的多版本管理
用户无需纠结于单一设置，可创建两份配置文件——一份true用于日常，另一份false用于特定场景，通过切换配置快速适应不同需求。或在快捷指令中设置自动化，当连接特定WiFi时自动调整该参数。这种灵活性允许用户在稳定与隐私之间按需切换，避免了非此即彼的固定选择。
常见问题FAQ
bypass-system = true后Shadowrocket是否还能代理App Store流量
App Store的更新和下载流量属于系统服务范畴，true模式下会直连，不经过代理。若需代理App Store以访问不同地区的商店内容，需将参数设为false。但普通应用的流量仍由规则控制，不受该参数影响，社交媒体、浏览器等用户应用仍正常走代理。
设为false后推送通知延迟明显增加是什么原因
推送通知通过代理隧道传输，若节点延迟较高或经过国际链路，通知从Apple服务器到设备的时间必然增加。同时代理隧道的心跳保活机制可能因网络波动而重置连接，造成推送短暂中断。若通知及时性对用户至关重要，建议切换回true模式直连APNs通道。
系统时间在false模式下偶尔出现偏差如何解决
NTP时间同步请求经过代理后，往返延迟增加可能导致时间校准的精度下降。用户可在设备设置中关闭“自动设置时间”再重新开启，强制立即同步一次。若频繁出现偏差，则表明当前节点延迟不稳定，不适合承载系统时间同步，应将参数恢复为true。