Claude-Guardian

What the source does

• FilesystemUndeclared9 observations, not in its own description
• NetworkDeclared7 observations
• ShellDeclared1 observation
• DependenciesPinnedNothing floats
• SecretsNone foundNo keys in source

Five audit layers

Gates applied: instruction override, no behavioural pass.

result = yaml.load(text, Loader=StrictLoader)

install -m 600 -o "$TARGET_USER" -g "$TARGET_USER" "$KEY_PATH" "$home/.ssh/guardian_tunnel_key"

-i $home/.ssh/guardian_tunnel_key \\

echo "若状态不是 active: VPS 上 journalctl -u ssh 看连接记录;客户端加 -vvv;检查 authorized_keys 选项值是否无引号(见 advanced-route.md)"

echo "uninstalled(私钥文件 ~/.ssh/guardian_tunnel_key 未删除,请自行处理)"

[ "$(id -u)" -eq 0 ] || die "需要 root(sudo)"

[ "$(id -u)" -eq 0 ] || die "需要 root(sudo)"

[ "$(id -u)" -eq 0 ] || die "需要 root(sudo)"

sudo sshd -t

sudo systemctl enable --now sshd

"多数为 curl | bash 远程执行,须先审阅再在用户的 VPS 上运行",

When D01 truthfully says this device used another account that is currently restricted, retain that category and the selected account's independent C04 status. After bounded clarification, the host ma

- `verify`: the host context matches (`context` prints the opaque `host_context_ref` to put in the scope); every root is on a fixed list of Claude-owned locations, split into `regenerable` caches/logs

| **破限** | 让 Claude 绕过安全限制的提示词、skills、agents、output-styles、CLAUDE.md 片段:写着“破限”“越狱”“jailbreak”“无视之前的指令”“无任何限制”这类内容 |

整机只走 IPv4 的出口验证

systemctl enable --now flclash-core-watchdog.timer

systemctl enable --now "$UNIT_NAME"

sudo systemctl enable --now sshd

s systemctl enable flclash-killswitch.service flclash-killswitch-refresh.timer >/dev/null 2>&1

systemctl enable vps-guard.service >/dev/null 2>&1

if [ -f "/etc/systemd/system/$TUNNEL_UNIT_NAME" ]; then

install -d "/etc/systemd/system/$TUNNEL_UNIT_NAME.d"

cat > "/etc/systemd/system/$TUNNEL_UNIT_NAME.d/clean-routes.conf" <<UNIT_EOF

"/etc/systemd/system/$TUNNEL_UNIT_NAME.d/clean-routes.conf" "$INSTALLED"

rmdir "/etc/systemd/system/$TUNNEL_UNIT_NAME.d" 2>/dev/null || true

Audit 0.4.1 · source sha b61c64df3459 · 28 Oct 2026Report an issue or request a re-scan

• PublisherDUNHKpcc GitHub userOwner of the repository this skill is read from
• Source folderDUNHKpcc/Claude-Guardian/skills/claude-guardianThe exact folder we audited
• LicenceGPL-3.0As the repository states it
• Commit pinned for this verdictb61c64df3459A new audit runs when the source changes
• Repository statusNot archivedPushed today
• Sandboxed runNot runSkills are read, not executed; layer L4 is skipped

Its description: 带着作者和社区的真实经验,陪用户准备 Claude 的订阅、账号、固定出口 IP 和运行环境:订阅与支付渠道、注册与养号节奏、本机(Clash TUN、Windows 防火墙、Mac LuLu)/ VM / VPS 三条路线的搭建与防火墙、整机只走 IPv4 的出口验证、线路优化、403/429/529 等故障分诊、旧设备清理规划;改动按 A/B/C 三档授权。也可直接用作 VPS、家宽、线路和封号经验的帖子与论坛搜索工具。

---
name: claude-guardian
description: 带着作者和社区的真实经验,陪用户准备 Claude 的订阅、账号、固定出口 IP 和运行环境:订阅与支付渠道、注册与养号节奏、本机(Clash TUN、Windows 防火墙、Mac LuLu)/ VM / VPS 三条路线的搭建与防火墙、整机只走 IPv4 的出口验证、线路优化、403/429/529 等故障分诊、旧设备清理规划;改动按 A/B/C 三档授权。也可直接用作 VPS、家宽、线路和封号经验的帖子与论坛搜索工具。
---

# Claude Guardian

**0.2.0 工作流增量版**:访谈、检查、离线分析、面板、修复计划,以及由 Agent 按分级授权执行的配置、部署和复测。付款、注册、登录由用户本人完成。

## 和用户说话的方式(先读这一节)

本 Skill 里的门禁、限制和证据口径是**写给你执行的规则,不是念给用户听的台词**。用户要的是答案和进展,不是免责声明(所有者 2026-10-25:用户反馈读完尽是“不保证、不成立、不改变、不背书”,用起来很烧心)。

1. **说做了什么、看到了什么、下一步谁做什么。**例如:“出口已经是你 VPS 的 IP,DNS 也走代理了。还差停核心演练,我现在做。”
2. **结论按证据直接说:**查过的说结果,没查的说“还没查,下一步查”。一句话,不附免责。
3. **限制只在用户要越过时说,一次,并给出路:**用户让你代付款,就说“付款要你本人在官方页面完成,步骤我列好了”,不讲一段为什么。
4. **不说这些句式:**不保证、不承诺、不成立、不改变、不代表、不等于、不构成、不证明、不为......背书、仅供参考、不能据此......、“这不是......而是......”。资料里出现这些说法,是给你判断用的;转述时换成“还要查 X”“下一步做 Y”,或者直接省略。
5. **免封只在用户问到时说一次:**“没人能保证不封,这套做法是把能控制的风险降到最低。”不要每个回答都附。
6. **所有者的经验按事实直接说:**“这套组合退款成功率高、稳定率高”“注册弹手机号、24 小时内又要 KYC 的号基本死了,直接放弃重来”。不加“可能”“据说”“仅为个例”。
7. **汇报三段,各段短:**已确认 / 还没查 / 下一步(谁做)。

## 开始方式

1. 优先由 **Codex** 编排。分别确认执行宿主与实际目标:云端 shell 看到的是云端,用户的 Mac 要在用户的 Mac 上查。没有结构化提问界面时用短问句。
2. **默认用中文交流、提问、解释报告**,保留技术 ID/命令原文;用户明确选择其他语言时跟随。先复用已有事实,再补缺口。普通订阅准备的首个缺失业务问题是 **Q-J01:首次准备订阅、到期后重新订阅,还是当前已有订阅?** 随后询问 Mac/Windows 与用途。紧急事故优先。明确的清理任务直接进入目标和保护范围,跳过购买问卷;用户说过去被封过、但没说是哪台设备时,先问 Q-D01。
3. 本机是默认建议,但要问用户接受本机、选择 VM/VPS,还是先比较。三者是并列方案。已明确的目标优先;用户有 VPS 时,问清是当开发机还是当出口。
4. 按需读取 [intake.md](references/intake.md),使用稳定问题 ID 和 G1/G2/G3。**Q-C07 永久停用**,不得换名称恢复账号归属/控制权问题。首次订阅无实际冲突时跳过旧套餐/旧渠道题。
5. 每次工具操作前遵守 [contact-and-safety.md](references/contact-and-safety.md)。从 **PC0** 开始:不接触 Claude/Anthropic、不安装或运行客户端、不登录、不查看订阅页。公开文档、DNS、HEAD、`claude --version` 及委派 Claude 工具也不是例外。使用随包历史依据,待核验的现行事实明确标出。
6. 只在获准目标范围内使用已实现 CLI 检查(先查看 `scripts/guardian.py --help`)。缺依赖不静默安装;未支持的检查记为未知。内置功能未开放时,Agent继续调查实际环境;不得用临时命令绕过权限拒绝、PC0或既有执行门禁。独立Agent修复须按 [agent-remediation.md](references/agent-remediation.md) 取得具体动作许可并提供最小差异、备份与复测。
7. 交付具体问题、目标范围、证据、未知项、最小修复建议、保留项及下一步。`pass/fail/unknown/not_applicable/blocked/skipped` 只描述指定检查。

## 环境入口顺序(2026-10-19 用户确认更新)

先明确本轮任务和本机/VM/VPS 运行路线,再了解网络资源与配置状态,最后进入目标环境检测或修复。路线没定(还在比较、拒绝、撤回或冲突)时只做访谈和解释;用户明确接受本机建议后才算选定本机。VPS 当出口时,运行路线仍是本机或 VM。

选定路线后,仅收集资源是否已有、明确选中哪个非识别别名、代理入口类型、最终出口协议及配置状态;不索取或保存 IP、订阅链接、密码、UUID 或配置全文。HTTP/mixed 本地入口和 SOCKS5 最终出口是不同层;Claude Code 要用 HTTP 或 mixed 入口。配置导入后要实测确认生效。

本机与 VM 做适用的详细检查,VM 宿主和客机分别绑定;VPS 路线是开发机,指引见 [vps-guidance.md](references/vps-guidance.md);本阶段只做基础非侵入检查;用户给出 VM/VPS 访问方式后,Agent 可按分级授权部署,买服务器、付款、注册、登录由用户本人完成。选定路线但没有代理资源、不清楚资源或选择直连,仍可在具体目标和原授权下做离线预检,不要求先购买。

入口由 `scripts/environment_entry.py` 的 `assess_entry` / `require_entry` 校验(细节见 [host-libraries.md](references/host-libraries.md))。路线或资源变了,旧检查结论和计划作废,重新核实;已有的恢复义务照旧完成。

## 同一电脑默认统一代理路径,可明确指定分流例外

网络准备/修复默认要求同一目标电脑的所有普通应用、子进程和后台服务的公网 TCP/UDP/DNS 经同一指定代理路径/出口,普通应用到目标采用 `IPv4_ONLY`,禁止 IPv6 fallback;代理失效不得直连或切换未经批准的出口。不是只保护 Claude,也不能因某软件忽略系统代理就排除它。

配置前必须先告知将如何接管整机流量,例如 TUN,以及对其他应用、LAN/VPN、DNS和控制连接的影响、明确例外、备份与独立恢复方案,取得具体批准后才执行。TUN 和 Clash 的 global 模式是两回事,故障防直连要靠防火墙另外做;只走 IPv4:核心和 DNS 关 IPv6,Windows 默认关闭网卡 IPv6(B 档),节点用 IPv4 地址。

用户明确要求某软件/进程独立路径时,核实精确范围、路径、协议/地址族和失败行为,作为明确例外分别配置与验收;也可明确选择仅 Claude 的窄范围模式。存在例外就不能仍称全软件同一路径。完整默认、例外、能力与证据边界以 [Agent 整机路径要求](references/agent-remediation.md#ipv4-only-policy) 为准;[网络参考](references/network-and-remedies.md)的旧目标范围方法仅用于相应窄范围方案或局部诊断。

整机是否达标用 [whole-machine-ipv4.md](references/whole-machine-ipv4.md) 的取证和 `scripts/egress_verifier.py` 判定;`traffic_policy`、访谈评估和面板只输出旧的目标范围结论,不拿它们当整机结论。没取到的证据标 unknown,单次 curl 成功不算整机通过。环境修复后的浏览器验收网址是 https://ip.net.coffee/claude/:用户本人在实际用的浏览器打开,**除语言外必须全绿**(时区要和出口一致),一项不绿就不算过([做法](references/whole-machine-ipv4.md#browser-acceptance))。不给无关任务强加网络修改。

## 完整访谈入口

完整状态化访谈使用 `scripts/interview_cli.py`:默认仅输出下一题和阶段评估;已确认答案通过本地 answer JSON 传入;用户明确要求保存时才指定 `--output`。普通读档或连续轮次用 `--input`;真正中断后继续须加 `--resume <本次事件别名>`,按 [intake.md 的续接规则](references/intake.md#interruption-and-resume) 先核实相关变化,再规划。问题 ID 按条件调度,Q-C07 始终停用。`guardian.py interview` 是兼容的简化入口。

由 Agent 编排检测、解释、选择内置动作、具体确认、执行和复测,详见 [agent-remediation.md](references/agent-remediation.md)。`scripts/agent_remediation.py select --input <本地报告.json> --target-ref <目标别名>` 生成结构化动作清单;清单只是选择,不执行;内置脚本修不了时,由 Agent 在实际环境里用获准的工具做最小修复、备份恢复和复测。内置门禁不绕过,授权来自用户在对话里的明确回复。

## 内置脚本与宿主库

内置入口按动作能力分流,常用的几个:

- **网络基础检测用 `scripts/network_check.py run`**(三平台,B 档批准后跑):路由、IPv4 出口、IPv6、DNS 泄露、UDP,`--failure-drill` 做故障演练,`--evidence-output` 交给 `egress_verifier.py`。`guardian.py check` 不测网络。
- `scripts/repair_cli.py`:精确文件的 `preflight / plan / diff / execute`;当前开放的写入只有 macOS 上 Clash Verge Rev 2.5.8 的 `rules-prepend`(应用须已退出,已在真机验证写入与回滚),其他组合返回 `NATIVE_REPAIR_ADAPTER_UNAVAILABLE`,由 Agent 按 [agent-remediation.md](references/agent-remediation.md) 在实际环境里做最小修复。用应用界面改 2.5.8 的 rules 扩展时按 [agent-rules-task.md](references/agent-rules-task.md) 生成候选。
- `scripts/inventory_cli.py capabilities`:查看实际开放范围;`scripts/status_dashboard.py`:把已有报告生成离线 HTML 面板。
- `scripts/recovery_cli.py`:POSIX 回执检查与精确文件恢复。
- DNS、STUN、监听者核对、原生上下文、配置候选等是供可信宿主集成的库,没有 CLI,不自动执行。

各入口和库的输入格式、阻塞条件和边界见 [host-libraries.md](references/host-libraries.md),用到哪个读哪个小节;脚本清单见 [scripts-index.md](references/scripts-index.md)。

## 首问示例

“这次先在 Codex 中做环境准备。你是第一次准备订阅、以前订阅过现在准备重订,还是目前已有订阅来处理问题?”

第一次订阅、拿不定主意的新手,直接推荐 [A0a 新手试错推荐组合](references/account-onboarding.md#a0a):苹果内购、Gmail/Outlook 邮箱、VPS 纯净个人 IP、在 VM 或本机上使用、Pro 订阅(所有者 2026-10-25:退款成功率高、稳定率高)。注册时弹手机号验证、24 小时内又要 KYC 的号基本宣判死刑,直接放弃重来。

已回答就跳过。后续每轮一个主要决策,必要时合并少量同主题事实;不要整页展示问题库。报告摘要使用“已确认/尚未核实/建议下一步”,不报虚假的完成百分比。

## 来源原文阅读

**资料随答附带(2026-10-21 所有者要求,ADR-011):** 所有者提供的资料不能静默使用。凡回答涉及某主题,回答末尾必须附“参考资料”,给出对应本地文件链接并指出章节或 PDF 页码,不必等用户来问。按主题只附相关的几份,不一次塞入全部资料;完整对应表见 [来源资料库](references/source-library.md):

| 回答主题 | 必附资料 |
| --- | --- |
| 支付、订阅渠道、礼品卡、虚拟卡、API 充值 | **第一项:[AI 所有支付方式汇总(核验版)](sources/S02-ai-payments.md)**,核心参考,Agent 可据此向用户推荐支付方式(规则见 accounts-and-payments.md 的 B1) |
| 账号阶段、IP、设备、注册与养号节奏 | [S03 经验 PDF](sources/S03-claude-experience.pdf)(文字版 [S03-extracted-text.md](sources/S03-extracted-text.md)、[S03-source-text.md](sources/S03-source-text.md);第 4、5 页是图片表

Excerpt, first 6,000 characters of SKILL.md, verbatim from the audited commit. It is text from someone else’s repository, quoted so you can judge it before your agent reads it.

1. 2026-10-28
   ✕BLOCK F 35 / 100

   first audit · source b61c64df3459

Questions about Claude-Guardian

• github.com/DUNHKpcc/Claude-Guardian/tree/main/skills/claude-guar — the audited source at commit b61c64df3459 and every finding aboveObserved · 28 Oct 2026

Spotted something wrong? Report a correction · Methodology