stun-response-ip能在特定范围内防止WebRTC方式的真实IP泄露，但无法提供全面的IP隐藏保护。用户应在Shadowrocket配置文件的[General]段落中添加stun-response-ip = 127.0.0.1，保存并重新加载配置文件后，通过BrowserLeaks等在线WebRTC测试工具验证防护是否生效。该参数仅篡改STUN协议响应中的IP字段，对DNS查询、HTTP请求头、操作系统系统服务等泄露途径完全无效，用户仍需配置DNS over HTTPS保护DNS解析，关闭HTTP请求头中的IP传递字段，并确保Shadowrocket的全局路由模式覆盖所有应用流量。对于使用WebRTC视频会议的用户，开启该参数可能影响NAT穿透效率，需权衡隐私保护与应用功能。建议将该功能与浏览器内置的WebRTC禁用选项、代理隧道的全局加密配合使用，通过多层防护构建完整的隐私保护体系，而非依赖单一参数解决所有泄露问题。
理解stun-response-ip参数的作用机制
STUN协议在WebRTC中的角色定位
STUN（Session Traversal Utilities for NAT）协议主要用于WebRTC等实时通信场景，帮助设备在NAT环境下获取自身的公网IP地址和端口。浏览器或应用通过向STUN服务器发起请求，获取可供外部访问的网络地址，从而实现点对点直连传输。Shadowrocket中的stun-response-ip参数正是针对这一机制设计的防护选项，用于处理STUN请求返回的IP地址信息。
stun-response-ip的实际处理逻辑
当该参数设置为特定IP地址（如127.0.0.1）时，Shadowrocket会拦截WebRTC的STUN请求返回结果，将原本包含真实公网IP的响应替换为指定的虚假地址。浏览器或应用接收到的IP信息变为伪造值，无法获取用户真实的网络位置。这一操作的核心目标是阻断WebRTC API通过STUN协议获取真实IP并传递给网页的路径，而非加密或代理所有流量。
与代理隧道加密的本质区别
stun-response-ip属于应用层的欺骗措施，与代理协议提供的加密隧道存在本质差异。它不加密任何数据流量，也不改变流量的路由路径，仅篡改特定协议响应中的IP字段。用户设备与STUN服务器之间的通信仍然通过本地网络直连完成，代理隧道并未参与这一过程。这决定了该功能的作用范围有限，不能替代完整的隐私保护方案。
stun-response-ip能够防护的泄露类型
WebRTC IP地址的主动伪装
WebRTC泄露是指网页通过JavaScript调用WebRTC API，向STUN服务器请求并获取用户真实IP地址的行为。开启stun-response-ip后，Shadowrocket在应用层拦截STUN响应并将IP替换为伪造值，网页获取的IP不再是用户的真实公网地址。这有效防止了恶意网站利用WebRTC标准功能绕过传统代理设置收集用户地理位置和身份信息。
浏览器指纹中IP维度的混淆
部分网站通过WebRTC获取的IP地址作为浏览器指纹的一部分，用于识别用户身份或追踪浏览行为。伪造STUN响应中的IP地址能干扰这类指纹采集，使网站无法将IP作为稳定的设备标识。但需注意，浏览器指纹包含多种维度，单独混淆IP不能完全防止指纹追踪，需配合其他反指纹措施综合防御。
基于STUN协议的NAT检测干扰
某些网络诊断工具或P2P应用依赖STUN响应中的映射地址进行NAT类型检测和连接建立。伪造该响应可能导致这些工具获取错误的网络拓扑信息，间接防止外部节点通过STUN反馈的IP反向定位用户真实网络位置。但对于不使用STUN协议的追踪方式，该参数不提供任何防护能力。
stun-response-ip无法防护的泄露途径
DNS查询泄露的真实IP暴露
DNS解析请求在默认配置下可能以明文形式发送至本地运营商DNS服务器，即使通过Shadowrocket代理，若DNS设置不当仍可能泄露真实网络出口信息。stun-response-ip完全不涉及DNS层面的处理，无法防止DNS查询暴露用户IP或访问记录。用户需单独配置DNS over HTTPS或DNS over TLS，以及正确设置Shadowrocket的DNS服务器地址，才能封闭DNS泄露通道。
HTTP请求头中的IP信息传递
用户访问网站时，HTTP请求头中的X-Forwarded-For、Client-IP等字段可能包含真实IP地址，尤其在经过多层代理或CDN时，这些字段可能被服务端记录。stun-response-ip仅修改STUN协议的响应内容，对HTTP请求头中的IP字段无任何影响。用户需通过配置规则或在Shadowrocket中开启隐私模式，主动剥离或伪造请求头中的IP信息，防止此类泄露。
操作系统网络层的IP暴露
操作系统层面的网络连接（如系统更新服务、时间同步请求、推送通知等）直接通过本地网络接口发出，完全不经过STUN协议，也不受Shadowrocket代理控制。这些连接暴露的是设备真实的网络出口IP，stun-response-ip对此类底层网络活动完全无效。用户需通过VPN隧道的全局路由功能，确保所有系统级流量均被代理接管，才能实现全面的IP隐藏。
与其他隐私防护功能的协同配置
WebRTC泄露防护的多层策略
除stun-response-ip外，用户还可在浏览器层面直接禁用WebRTC功能。Chrome用户可安装WebRTC Leak Prevent扩展，或通过chrome://flags/#enable-webrtc-hide-local-ips-with-mdns启用mDNS混淆，彻底阻断WebRTC的IP获取能力。Shadowrocket的配置与浏览器内部设置共同构成双重防护，即使其中一层失效，另一层仍能提供保护。
代理模式与stun-response-ip的配合逻辑
当Shadowrocket处于全局代理或规则代理模式时，WebRTC流量通常能通过代理隧道转发至STUN服务器，但STUN响应中返回的仍是客户端实际公网IP。stun-response-ip在此基础之上增加了响应篡改层，即使代理隧道已被识别，伪造的IP地址仍能混淆网页端的检测结果。两者配合既保证了流量的加密传输，又额外防御了应用层的IP采集行为。
前置代理与IP混淆的叠加效果
若用户在Shadowrocket中配置了前置代理或链式代理，设备实际出口IP为中间节点的IP地址，而非真实网络位置。此时stun-response-ip的伪造操作基于前置代理的出口IP进行响应替换，进一步增加了攻击者追溯真实网络出口的难度。多层代理与STUN响应伪造的叠加，构建了从网络层到应用层的纵深隐私屏障。
验证stun-response-ip实际效果的方法
使用在线WebRTC检测工具测试
访问BrowserLeaks或IPLeak等专业WebRTC泄露测试网站，该页面会通过JavaScript调用WebRTC API获取STUN响应中的IP地址，并展示检测结果。开启stun-response-ip前后分别测试，若开启后页面显示的IP不再是真实公网地址（如变为127.0.0.1或192.168.x.x的局域网地址），则证明防护机制生效。测试时需确保浏览器未缓存之前检测结果，每次测试前清理缓存。
浏览器开发者工具的实时监控
在Chrome开发者工具的“网络”标签页中，筛选类型为“STUN”或“WebRTC”的请求，查看请求和响应内容。开启stun-response-ip后，响应中的IP字段应与伪造值匹配。若仍显示真实IP，则需检查Shadowrocket配置文件中是否已正确写入该参数并成功加载。开发者工具提供的底层网络数据比在线检测结果更具可信度，能排除网页脚本的干扰。
多浏览器环境的交叉验证
不同浏览器对WebRTC的实现和STUN请求处理存在差异，用户应在Chrome、Firefox和Safari中分别运行测试。若仅在特定浏览器中防护生效，则需针对该浏览器单独调整隐私设置。stun-response-ip作为系统级代理干预，理论上对所有浏览器通用，但实际效果受浏览器WebRTC实现细节影响，交叉验证能全面评估防护覆盖范围。
设置方法、注意事项与局限性
配置文件中的参数写入位置
在Shadowrocket配置文件的[General]段落中添加stun-response-ip = 127.0.0.1即可启用该功能，也可指定其他伪造IP地址（如0.0.0.0或任何内网地址）。保存文件并重新加载配置后生效。该参数属于全局设置，对所有通过该配置的流量统一生效，无法针对单个节点或应用独立配置。
与IPv6环境的兼容性问题
在纯IPv6或双栈网络环境下，stun-response-ip默认仅处理IPv4的STUN响应，IPv6地址仍可能通过WebRTC泄露。用户若同时使用IPv6，需检查配置是否支持IPv6的STUN响应伪造，或在Shadowrocket中关闭IPv6支持统一使用IPv4。IPv6的WebRTC泄露风险高于IPv4，用户需给予特别关注，避免在未完全防护的情况下使用IPv6网络。
该参数的长期使用与定期检查
随着浏览器和WebRTC标准的更新，STUN协议实现可能发生变化，stun-response-ip的拦截逻辑需保持同步。用户应定期重新运行泄露测试，确认防护仍有效，尤其在Shadowrocket版本更新或系统升级后。同时关注社区讨论中关于该参数在新环境下的表现反馈，及时调整配置以适应技术演进。
常见问题FAQ
开启stun-response-ip后WebRTC应用（如Google Meet）会受影响吗
大多数WebRTC应用依赖STUN获取公网IP以实现P2P连接，开启该参数后应用可能获取到伪造的IP地址，影响NAT穿透的成功率，可能导致连接降级为TURN中继模式。实际测试中视频通话质量可能因中继服务器带宽而下降，用户需在隐私保护和应用功能之间权衡取舍。
该参数是否完全替代VPN的全局IP隐藏
STUN响应伪造仅针对特定协议的IP采集，远不能替代VPN的全局流量加密和路由功能。VPN能隐藏所有流量的源IP，而stun-response-ip仅掩盖WebRTC层面的IP。用户仍需依赖Shadowrocket的代理隧道保护整体的网络隐私，该参数仅为补充性防护手段。
为何在线检测工具开启后仍显示真实IP
可能原因包括：配置文件中参数未正确写入或未保存、配置文件未重新加载、浏览器缓存了之前的STUN响应结果、或检测工具使用了非STUN方式获取IP（如HTTP头解析）。建议先清理浏览器缓存，验证Shadowrocket当前配置文件中确已包含该参数，并在开发者工具中监控STUN请求确认响应已被篡改。