打开程序先检查当前代理，检查过程中能看到真实步骤，也可以取消。此时还没有修改网络。
查看画廊与说明用途与结果
最快了解这个项目
为什么需要它
代理程序退出后，浏览器、终端和某些应用可能还在尝试连接它留下的旧地址。ProxyClean 先找出哪些设置已经失效，再让本人预览并确认修复；仍在工作的代理和判断不清的设置会保留。
举个实际例子
我关掉代理后网页打不开：双击“00-打开 ProxyClean.vbs”，在首页点“检查并修复上网问题”。它先告诉我找到哪些失效设置；我确认后才修复，并分别告诉我设置是否改好、微软测试网页是否可访问。若没有可自动修复的设置，也会给出下一步。
最后我会得到什么
窗口分别告诉我本机设置是否修好、基础网页能否访问，以及哪些应用或代理路径仍未处理。关闭客户端时还会显示它是否退出、相关端口是否关闭；本轮撤销能恢复仍未被别人改动的设置，不能重新打开已结束的程序。
正常时
确认后，窗口分别显示设置回读、保留范围和基础网页测试；原来已经打开的终端可能需要重开。
发现问题时
找不到可安全修复的失效项、客户端没完全退出、端口换了主人或设置被别人改过时，停止相应动作并说明下一步。
入口不可用或证据不足时
路由、网卡或受保护进程需要管理员权限时，窗口保留原选择并重新检查；权限或恢复条件不满足就报告未完成。
从哪里开始
双击根目录“00-打开 ProxyClean.vbs”；先看首页状态，故障时点“检查并修复上网问题”读预览，确认后才执行。
需要准备什么
- 遇到的联网问题
- 是否还要使用代理
- 需要关停的客户端或需要操作的网卡（如适用）
从开始到拿到结果
- 1打开首页看当前状态
双击“00-打开 ProxyClean.vbs”，先看系统代理和简短结论；正常时直接关闭即可。
- 2故障先看预览
点“检查并修复上网问题”，确认哪些死端口或设置会改变；关闭代理客户端、网卡和 IPv6 有各自明确入口。
- 3确认执行并读回
点“开始修复”后看配置读回与基础网页测试；仍断网时按详情定位，Undo 只撤回本轮可逆配置。
从这些需求了解功能
从一个实际问题看它怎样处理、交回什么；当前能做到哪一步和仍有哪些限制，也写在对应说明中。
本人提供的五张实际界面
从本机检查到修复结果、详情与维护
截图展示已出现的窗口和状态；每张保留原观察范围。截图未绑定源码提交，也不证明本站在当前网络执行过修复或已恢复所有应用联网。打开后可缩放、滚动查看细节，也可关闭或切换上一张、下一张。
项目指标与相关入口查看规模、覆盖范围和关联能力
当前项目指标
- 日常首页
- 检查修复 · 关闭代理
- 修复结果
- 原设置可恢复 · 配置回读
- 关闭代理
- 按客户端归组 · 动态端口
- 高级维护
- 独立窗口 · 按需操作
它负责
- 检查系统代理、终端和 Git 是否还指向已经停止的本机代理，只清能确认失效的引用。
- 检查代理退出后留下的虚拟网络路线；只有确认还有可用的物理上网路线，才删除孤儿路线。
- 从当前运行中的程序发现代理端口，不用旧端口号猜今天的状态。
- 提示 Docker Desktop 是否另有自己的代理设置或等待应用的改动；这里先给诊断，不替它重启。
- 按本人选定的客户端预览、正常退出；必要时另问是否强制关闭，确认端口关闭后只清相关设置。
- 为指定 WiFi 网卡提供先查、再刷新或重启的维护入口，结果与日志保存分开。
- 先查看物理网卡的 IPv6 状态；本人明确选择后才改变，虚拟网卡不跟着切换。
它不负责
- 不会把系统长期指向另一个可能消失的代理端口。
- 找不到可靠的物理上网路线时，所有默认路线保持原样。
- 正在工作的、远程的和归属不明的代理设置默认保留；手动直连也不改变每个应用自己的代理或自动配置脚本。
- 不会自动修改或重启 Docker Desktop。
- 关闭客户端只针对经过身份核对的目标；一个端口或进程名不能代替目标确认。
- 只读查看和网页刷新不会触发 IPv6、网卡或路线修改。
产品思想与设计核心
失效代理只清理，不换一个固定端口
代理退了，就把确认失效的本机引用清掉；不会为了眼前上网，把浏览器和终端长期改指另一个可能再消失的端口。
没有可靠的物理路线就不删
修旧虚拟路线前先确认电脑仍有一条物理上网路线；没有这个退路，宁可保留原设置并说明原因。
看当前是谁在监听
客户端端口会变。工具每次重新查看正在运行的程序和端口，不能拿旧端口表判断今天该关谁。
日常修复与高级维护分开
首页只处理“检查修复”和“关闭代理”。刷新域名缓存、重启网卡与切换 IPv6 在维护窗口由本人另选。
先预览，冲突时保留现场
修改前保存原值，修改后重新检查；若期间有人改了同一设置，撤销不会覆盖对方的新结果。
它从哪里判断网络出了什么问题
程序读取电脑已有的代理、网络和应用设置；看到一个端口或进程名只是线索，关闭或清理前还要重新核对。
查看浏览器等程序正在使用的手动代理地址，以及本机是否还有程序在对应端口提供服务。
端口仍在正常使用就保留；确认失效时才按预览关闭相关手动设置。自动代理脚本另行报告。
查看上网默认路线是否指向已消失的虚拟网卡，同时确认有没有物理路线可以接替。
没有可靠退路就不删路线；改完设置仍要另测基础网页。
查看以后新开的终端会继承哪些代理地址。
只清本次能确认失效的用户设置；已经打开的终端可能需要重开。
查看 Git 是否另有指向旧本机端口的全局代理。
只处理本次确认的目标，远程地址和不明来源保持原样。
查看容器工具是否保存了独立代理设置，以及最近运行记录是否仍在用旧模式。
说明可能的下载超时原因，不在此处替 Docker 应用设置或重启。
读取选定网卡的当前连接和 IPv6 路线。
先把状态交给本人；只有明确选择维护动作才修改对应物理网卡。
只检查本机配置，不读取浏览内容；不同应用可能各用自己的代理，基础网页通过也不证明所有应用都已恢复。
项目怎样演化到现在
先停止把代理端口写死
从固定备用代理转向只处理确认失效的本地配置；正常工作的代理和远程设置保留，避免为了能上网制造另一套长期残留。
阶段依据
- 2026-06-30 · 去掉强制写入备用代理端口的旧行为。
972bcc4 - 2026-07-04 · 旧固定后备代理路径退出活动实现。
0ad93df
不同网络问题用不同入口
动态发现监听与Docker配置，把指定端口、WiFi和IPv6操作分开；没有可靠物理回退路由时不删除默认路由。
阶段依据
- 2026-08-05 · 动态发现监听与Docker代理配置。
a888416 - 2026-08-17 · 缺少有效回退路由时不删除路由。
096437a - 2026-08-30 · 监听地址只能限制候选，不能代替确认所选端口所属进程。
2b46807 - 2026-09-04 · IPv6参数入口收紧到物理上网网卡，保留虚拟接口。
2737328
修之前能预览，修错了有条件撤回
控制中心展示计划与结果，原值在动作前保存；关一个端口不再顺带清整机或终止其他客户端，冲突保留现场，诊断默认不落日志。
阶段依据
- 2026-09-18 · 修之前能预览，修错了有条件撤回
be5d3f5
日常只需打开一个窗口并选择真实意图
根目录保留一个双击入口；首页只突出检查修复与关闭代理。关闭按客户端归组，先尝试正常退出，强制关闭需另行确认；确认后回读设置并测试基础网页。技术工具和历史快捷方式分别留在维护窗口与旧版入口。
阶段依据
- 2026-09-22 · 日常只需打开一个窗口并选择真实意图
cd54f2c
完整项目状态与证据边界
已确认事实
- 代理客户端退出后，Windows、终端或 Git 可能还指向失效端口，TUN 也可能留下旧路由。双击 ProxyClean 后先看本机状态；需要时由本人选择检查修复或关闭某个代理。确认后才修改可安全识别的设置并回读，另报基础网页是否可访问。普通修复不会自动刷新 DNS、重启网卡或切换 IPv6。
- 旧版工具曾试图把代理环境变量对齐到某个备用代理端口，导致“机场一关，命令行、Claude Code 与 git 全线瘫痪”。ProxyClean 确立铁律：环境变量 HTTP_PROXY / HTTPS_PROXY / ALL_PROXY 与 git 代理只会被【清成直连】，永不主动指向任何代理端口；备用代理配置已彻底退役仅作直连参考。
- Test-HealthyPhysRoute 现在要求候选路由对应适配器明确 HardwareInterface=true、状态 Up，且 NextHop 非零、不属于198.18/198.19 fake-ip。只有虚拟、未知或缺失网卡时，不放行任何路由删除；删除后的检查复用同一函数。它依据 Windows 硬件接口标记，不额外证明网关或公网可达。
- 默认仅清确认失效的本地端点，保留活、远程、未知和混合映射的其他部分。Direct明确处理手动WinINET、用户HTTP_PROXY/HTTPS_PROXY/ALL_PROXY、可安全定位的通用全局Git代理及有物理回退保护的IPv4残留路由；PAC、WinHTTP、机器变量、URL专属或来源含糊Git、Docker及其他应用不隐式改变，NO_PROXY保留。
- 首页关闭流程按飞鸟、Clash Verge 等已识别客户端归组，并动态发现真实端口；通用核心仅在实际父子进程关系成立时归组。技术状态脚本仍能查看监听、TUN 和 Docker Desktop 的代理配置，但进程名或端口本身都不能保证兼容所有版本或证明出口健康。
- 首页先显示客户端级预览：只发现一个时直接预览，多个时先选一个。先请客户端与辅助服务正常退出；仍在运行时另行确认强制关闭。退出、端口身份和配置都重新核对后，才把同一客户端多个端口的相关引用合为一次可恢复设置操作；其他客户端与未确认范围保留。技术端口脚本仍可单独按指定端口处理。
- WifiRebind提供Diagnose、SoftReset、AdapterReset；默认脱敏结果不落日志，明确LogPath才保存到新文件。断线或无IPv4时也可指定网卡；静态地址不释放DHCP，释放失败仍尝试续租，禁用成功后始终尝试重新启用。网络重置会中断选中连接，不作为当前远控的无害测试。
- 主脚本通过 PInvoke（平台调用）调用 SendMessageTimeout 广播 WM_SETTINGCHANGE，并用 InternetSetOption 通知 WinINET 配置变化。这能避免通知过程长期挂住，但删除 HKCU 用户环境变量不会改写已经运行进程自己的环境副本；Git、终端、Node 或 Electron 应用仍可能需要重新打开。
- IPv6状态和切换只处理明确的物理网卡，保留虚拟与Tailscale隧道；变更保存实际原值，失败分别回读恢复，不把再次整组切换当精确撤销。绑定状态、默认路由、HTTP可达与代理路径分别判断，本轮未改变任何实际网卡。
- 正式 master 925de61814f49f30d6e58ccb03d819c030cdab12 保留双操作首页与客户端级关停，并修复了关闭客户端后清理 WinINET 和用户代理变量时的注册表写入失败。来源变更记录载明新增 12 项隔离回归通过、整仓 193 项在 PowerShell 7.6.4 与 Windows PowerShell 5.1 通过；先前只读图形与隔离客户端关停验证保留原日期。本站没有在本人当前网络关闭代理或重演修复。
当前缺口
- 清理默认路由、切换 IPv6 和禁用/重新启用 WiFi 网卡依赖 Windows 管理员权限；普通权限下不能把这些动作冒充完成。
- 基础网页测试使用微软测试站点；若宽带或物理链路断开，会单独报告失败。配置修好、网页通过与所有应用直连是三种不同结论。
- ProxyStatus 只判断 Docker Desktop 是否存在手工本地代理钉死或配置等待应用，不验证那个端口已经死亡，也不会改配置、Apply（应用）或重启 Docker。
- ProxyClean 的系统代理清理判断使用 ProxyEnable 与 ProxyServer，不移除 AutoConfigURL（自动配置脚本地址）；存在 PAC（自动代理配置）时不能只凭 ProxyEnable=0 宣称整机已纯直连。
- 用户级环境变量清理只影响以后启动的进程；已运行的终端、Git 工具、Node 或 Electron 应用可能需要重开。
- 2026-09-14 的只读状态看到 1 个系统代理端口与 1 条 TUN 路由，未探测出口；这些是历史现场，不代表 2026-09-22 的当前网络或真实恢复效果。
来源与公开边界
ProxyClean 是 PUBLIC（公开）工具仓库，不包含可复用订阅链接、令牌或节点凭据。两份历史故障文档保留了已脱敏的设备、端口、拓扑与测量背景；网页只采用会改变产品理解的方法、边界和结论，不把历史现场当成当前运行状态。
当前关键技术事实
- 它真正解决的事
- 代理客户端退出后，Windows、终端或 Git 可能还指向失效端口，TUN 也可能留下旧路由。双击 ProxyClean 后先看本机状态；需要时由本人选择检查修复或关闭某个代理。确认后才修改可安全识别的设置并回读，另报基础网页是否可访问。普通修复不会自动刷新 DNS、重启网卡或切换 IPv6。
- 绝不焊死端口的核心安全原则
- 旧版工具曾试图把代理环境变量对齐到某个备用代理端口，导致“机场一关，命令行、Claude Code 与 git 全线瘫痪”。ProxyClean 确立铁律：环境变量 HTTP_PROXY / HTTPS_PROXY / ALL_PROXY 与 git 代理只会被【清成直连】，永不主动指向任何代理端口；备用代理配置已彻底退役仅作直连参考。
- 物理默认路由硬保护
- Test-HealthyPhysRoute 现在要求候选路由对应适配器明确 HardwareInterface=true、状态 Up，且 NextHop 非零、不属于198.18/198.19 fake-ip。只有虚拟、未知或缺失网卡时，不放行任何路由删除；删除后的检查复用同一函数。它依据 Windows 硬件接口标记，不额外证明网关或公网可达。
- 默认只清失效项；直连模式也有明确范围
- 默认仅清确认失效的本地端点，保留活、远程、未知和混合映射的其他部分。Direct明确处理手动WinINET、用户HTTP_PROXY/HTTPS_PROXY/ALL_PROXY、可安全定位的通用全局Git代理及有物理回退保护的IPv4残留路由；PAC、WinHTTP、机器变量、URL专属或来源含糊Git、Docker及其他应用不隐式改变，NO_PROXY保留。
- 动态端点发现与零固定端口表
- 首页关闭流程按飞鸟、Clash Verge 等已识别客户端归组，并动态发现真实端口；通用核心仅在实际父子进程关系成立时归组。技术状态脚本仍能查看监听、TUN 和 Docker Desktop 的代理配置，但进程名或端口本身都不能保证兼容所有版本或证明出口健康。
- 关闭代理先认客户端，再核对端口和设置
- 首页先显示客户端级预览：只发现一个时直接预览，多个时先选一个。先请客户端与辅助服务正常退出；仍在运行时另行确认强制关闭。退出、端口身份和配置都重新核对后，才把同一客户端多个端口的相关引用合为一次可恢复设置操作；其他客户端与未确认范围保留。技术端口脚本仍可单独按指定端口处理。
- WiFi分级恢复与可选报告
- WifiRebind提供Diagnose、SoftReset、AdapterReset；默认脱敏结果不落日志，明确LogPath才保存到新文件。断线或无IPv4时也可指定网卡；静态地址不释放DHCP，释放失败仍尝试续租，禁用成功后始终尝试重新启用。网络重置会中断选中连接，不作为当前远控的无害测试。
- 通知系统，不冒充旧进程环境已更新
- 主脚本通过 PInvoke（平台调用）调用 SendMessageTimeout 广播 WM_SETTINGCHANGE，并用 InternetSetOption 通知 WinINET 配置变化。这能避免通知过程长期挂住，但删除 HKCU 用户环境变量不会改写已经运行进程自己的环境副本；Git、终端、Node 或 Electron 应用仍可能需要重新打开。
- IPv6 状态与物理网卡整组切换已经归入本项目
- IPv6状态和切换只处理明确的物理网卡，保留虚拟与Tailscale隧道；变更保存实际原值，失败分别回读恢复，不把再次整组切换当精确撤销。绑定状态、默认路由、HTTP可达与代理路径分别判断，本轮未改变任何实际网卡。
- 已发布源码与验证证据
- 正式 master 925de61814f49f30d6e58ccb03d819c030cdab12 保留双操作首页与客户端级关停，并修复了关闭客户端后清理 WinINET 和用户代理变量时的注册表写入失败。来源变更记录载明新增 12 项隔离回归通过、整仓 193 项在 PowerShell 7.6.4 与 Windows PowerShell 5.1 通过；先前只读图形与隔离客户端关停验证保留原日期。本站没有在本人当前网络关闭代理或重演修复。
完整执行流程
- 1双击入口先看本机
根目录 00-打开 ProxyClean.vbs 检查完整运行文件并显示中文错误。窗口启动后只读检查 Windows 手动代理和简短结论，不自动访问公网。能正常上网时可以直接关闭窗口。
- 2上不了网时先预览修复
点击检查并修复后重新读取设置；找到可安全修复的失效项，就用中文列出范围。点击开始修复才保存原值、执行、回读并测试微软基础网页。没有可修复项时仍可测试网页并给出下一步。
- 3不用代理时选择关闭客户端
只发现一个已识别客户端时直接预览；同时发现多个时先选择。UAC 窗口保留所选客户端，重新检查后仍要再确认。先请求正常退出，未完全退出时另行预览并确认强制关闭。
- 4只清已退出客户端的相关引用
重新核对进程身份和所有相关端口；若客户端重启、端口被接管或检查失败，就不清设置。多个端口的相关引用合为一次可恢复配置事务。PAC、活 TUN、其他客户端和应用独立代理保留并报告。
- 5高级诊断另开窗口
查看详情和维护工具各有独立窗口；详细过程默认折叠，只在点击“复制脱敏诊断”时复制不含备份原值、密码和客户端完整路径的技术数据。只读检查可取消，修改或恢复中不能强制关闭。DNS、网卡、IPv6、手动代理和公网出口比较按需操作；出口比较请求 ipify 前另行确认。
来源读取与精确判定
读取Windows代理、分作用域环境变量、Git配置、监听器、路由和必要Docker配置/日志。动态监听只是候选，不能见到代理进程名就认为每个端口都是HTTP代理；明确关端口时重新核对实际目标，不使用旧端口到整类客户端的隐式映射。
WinINET 注册表设置（Internet Settings）：清理决策读取 HKCU 下 ProxyEnable 与 ProxyServer，解析本地端口并检测 TCP（传输控制协议）监听；WiFi 诊断日志会另外展示 AutoConfigURL。；端口存活时保持不动交由客户端管理；仅当端口已死或加 -Direct 时关闭 ProxyEnable。主清理脚本不移除 AutoConfigURL。
Windows IPv4（第四版互联网协议）路由表（Get-NetRoute）：枚举 0.0.0.0/0 默认路由，匹对 fake-ip 范围与网卡 Status（状态）。；删除前要求至少一条 HardwareInterface=true、Up、NextHop 非零且非 fake-ip 的物理默认路由；否则阻断全部路由删除。HardwareInterface 是 Windows 报告的硬件接口标记；该条件仍不主动探测网关或公网是否可达。
用户环境变量（HKCU:\Environment）：检查 HTTP_PROXY、HTTPS_PROXY、ALL_PROXY 及其小写变体。；只处理本次计划中的用户代理项与来源可定位的通用全局Git代理；Direct也不扩大到机器变量或URL专属/含糊来源配置，NO_PROXY保持。混合配置中的非目标映射保留。
全局 Git 代理配置（git config --global）：检查 http.proxy 与 https.proxy 配置端点。；默认模式只清可安全判为本地死端点的项，混合远程配置保留；-Direct 对两个键执行 --unset-all。
Docker Desktop 配置文件（settings-store.json）：审计 OverrideProxyHTTP 等本地端点覆盖项与 httpproxy.log 最近运行态代理模式。；发现手工本地端点或配置等待应用时输出提示；不判断该端口已死，也不修改或重启 Docker。
活动网卡 IPv6 绑定与 ::/0 默认路由：IPv6 状态入口只读展示；切换入口筛选 HardwareInterface=true 的物理上网网卡，并排除 natpierce、Tailscale、WSL（Windows 的 Linux 子系统） 和其他虚拟网卡。；交回查看结果或显式切换结果；网页刷新不会执行切换。
工具读取本机代理、监听、路由、网卡、Docker 与环境配置，不抓取浏览内容或网络流量。变更范围按入口分别限定：代理配置/候选默认路由、明确端口进程、选定 WiFi 网卡或筛选后的物理 IPv6 网卡。
本页用到的名词
需要核对专业含义时，可以在这里查看它在 ProxyClean 项目中的具体用法。
- TUN（虚拟网络设备）
- 在操作系统内核层创建的虚拟三层网络设备；代理软件利用它截获整机 IP 数据包并转发至代理内核。
- WinINET（Windows 互联网配置）
- Windows 系统内置的高层网络组件，存储 IE、Edge、Chrome 及多数桌面应用使用的系统代理注册表项。
- fake-ip（伪造 IP 地址）
- TUN 代理为避免本地 DNS 解析污染而分配的虚拟网段（通常为 198.18.0.0/15），请求流量由代理内核劫持还原。
- DNS（域名解析系统）
- 将人类可读的域名转换为网络 IP 地址的服务；代理关闭后若残留 fake-ip 缓存会导致域名解析到无效黑洞。
- DHCP（动态主机配置协议）
- 路由器为局域网设备自动分配 IP 地址和网关的协议；WifiRebind 通过 release/renew 重新获取有效租约。
- PInvoke（平台调用）
- PowerShell / .NET 调用 Windows 原生 C/C++ 动态链接库（如 User32.dll、wininet.dll）的底层互操作技术。
- Docker Desktop（Docker 桌面版）
- Windows 上的容器化开发环境；其 settings-store.json 中若锁定了失效的本地代理会导致镜像拉取挂死。
- fail-closed（失败关闭）
- 某个动作缺少明确前置条件时停止该动作并告警；例如没有符合谓词的备用默认路由时不删路由。
系统里实际有什么
下面是当前产品组件，不是概念分类。每一项都对应真实文件、入口或验证链。
保留可脚本化的失效代理清理、显式直连、预览与撤销；日常用户从图形入口开始。
包含 PInvoke NativeMethods（User32 + WinINet）、Get-ProxyEndpoints 解析器，以及 HardwareInterface=true/Up/非零/非 fake-ip 物理默认路由前置条件。
动态嗅探系统代理端点、活动代理进程与 TUN 默认路由，审计 Docker 本地代理钉死风险。
读取 WinINET 注册表、Get-NetTCPConnection 与 Docker settings-store.json，支持 -Json 结构化输出。
维护场景可按已确认端口预览、结束监听并只清该端点引用；首页另有按客户端归组的正常退出和单独强制确认流程。
明确端口先预览，再按当前监听与进程身份执行；只清目标端点配置，ExtraProcessName才追加进程。配置使用共享持久前像与恢复原语，不调用通用主清理扩大范围；进程停止不能由配置Undo撤销。
WiFi 只读诊断、DNS/DHCP 软刷新和网卡禁用后重新启用；默认不落盘，显式 LogPath 才保存脱敏报告。
实现 Get-TargetWifiConfig、Add-NetworkSnapshot、ipconfig /renew，以及 Disable-NetAdapter 后在 finally 中尝试 Enable-NetAdapter 的恢复流程。
查看活动网卡的 IPv6 绑定和 ::/0 默认路由；在显式管理员入口中只切换真实硬件上网网卡。
2737328 从 Scripts 吸收该能力，选择 HardwareInterface=true 的网卡并排除 natpierce、Tailscale、WSL（Windows 的 Linux 子系统） 与其他虚拟网卡；日常图形界面的维护窗口保留查看与明确切换。
承接日常两项意图、中文预览、客户端归组与分步关闭，分别回报设置和网页结果。
WPF 首页、独立详情/维护窗口共用工作流；后台检查可取消，关闭客户端时进程与端口身份重新核对，多个相关端口进入一次可恢复设置事务。
隔离验证端点、配置回滚、启动器、图形状态、客户端关停及并发变化等路径。
2026-09-24 源变更记录载明注册表写入修复后新增 12 项隔离回归通过、整仓 193 项在 PowerShell 7.6.4 与 Windows PowerShell 5.1 通过；实际本人网络恢复不由回归测试证明。
当前数据合同与写读边界
HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings
ProxyClean.ps1 / ProxyStatus.ps1：仅在代理端口确已死亡或传 -Direct 时将 ProxyEnable 置 0；绝不向 ProxyServer 写入任何新代理端口。
HKCU:\Environment (HTTP_PROXY, HTTPS_PROXY, ALL_PROXY, etc.)
ProxyClean.ps1 / Stop-ProxyPort.ps1：确认方案并在效果前复核死端口与原值，写后回读并广播；冲突时停止或恢复，不主动设置新的代理 URL。
%APPDATA%\Docker\settings-store.json
ProxyStatus.ps1 (Read-only Audit)：只读匹配 OverrideProxyHTTP 等项中的 127.0.0.1 端口，只报不改，严禁盲目静默修改用户 Docker 配置。
WifiRebind.ps1 -LogPath <新文件>
WifiRebind.ps1：默认不保存日志；显式给出新路径时才写脱敏摘要，不覆盖已有文件。
活动 HardwareInterface=true 网卡的 ms_tcpip6 绑定与 ::/0 默认路由
IPv6-Status.ps1 / IPv6-Toggle.ps1：状态入口只读；切换入口需要管理员权限，并排除 natpierce、Tailscale、WSL（Windows 的 Linux 子系统） 和其他虚拟网卡。网页刷新不执行切换。
4 层证据分别证明什么
能证明：修复后的Test-HealthyPhysRoute明确要求HardwareInterface=true，虚拟/未知/缺失网卡不能放行删除；后置检查复用相同判定，默认保留活代理与活TUN。
不能证明：不证明外部任意第三方机场客户端未来版本不会采用更为特殊的网络劫持方式。
能证明：源 CHANGELOG 记录新增 12 项隔离注册表回归通过、整仓 193 项在 PowerShell 7.6.4 与 Windows PowerShell 5.1 通过；旧写入器在新增测试中曾失败 10 项。9 月 22 日 WPF 只读烟测、六条只读导航及隔离客户端关停验证仍属当日证据。
不能证明：隔离注册表与客户端测试不证明本人当前代理已关闭、网络已恢复、所有应用已直连，也不覆盖物理断线。
能证明：证明 WiFi 脚本可解析，并以静态合同检查三种模式、禁用后必试图重新启用、失败退出码、日志路径和批处理接线。
不能证明：不证明无线路由器信号弱或欠费导致的宽带中断能通过本地网卡重启自愈。
能证明：2026-09-14T04:23:52Z 独立 ProxyStatus 只读看到系统代理开启、1 个发布本地端口、3 个监听候选、1 条 TUN 和 2 条默认路由；进程分组为 tailscaled 与 FlyingBird。Docker 运行日志为 system；当时未探公网出口。
不能证明：没有运行任何清理、关端口、WiFi、IPv6 切换或外网探测，不证明当前代理出口健康、直连成功、WiFi 恢复或 IPv6 没有绕行。
维护入口
双击 00-打开 ProxyClean.vbs唯一日常图形入口：首页先只读检查本机代理；需要时选择检查并修复上网问题，或关闭代理、恢复普通上网。完整文件夹必须保留，不需预先以管理员身份启动。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\ProxyClean.ps1网络自愈与对齐（默认模式）：保留的命令行维护入口：按条件清理失效本地代理与候选孤儿默认路由；默认不刷新 DNS。可加 -Quiet 精简输出；支持 Windows PowerShell 5.1 与 PowerShell 7。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\ProxyClean.ps1 -Direct强制直连清理模式：命令行的显式直连设置清理，不负责关闭客户端进程或活 TUN；需要关客户端时使用首页关闭流程。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\ProxyStatus.ps1代理状态与 Docker 审计：查看当前系统代理、监听进程、TUN 默认路由及 Docker 本地代理钉死风险。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\IPv6-Status.ps1IPv6 状态（只读）：查看活动网卡 IPv6 绑定与 ::/0 默认路由，不改变网络状态。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\IPv6-Toggle.ps1IPv6 物理网卡整组切换（需管理员）：只在真实硬件上网网卡上切换 IPv6，保留 natpierce、Tailscale、WSL（Windows 的 Linux 子系统） 与其他虚拟网卡。
pwsh -File Stop-ProxyPort.ps1 -Port <已确认端口> -Preview指定端口强杀与清理：先看具体监听进程和目标配置，确认后去掉Preview；只处理该端口，额外进程须明确指定，旧端口不顺带结束客户端。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\WifiRebind.ps1 -Mode SoftResetWiFi 软刷新（轻量自愈）：对明确网卡刷新DNS/DHCP，静态地址不释放DHCP；默认返回脱敏结果，LogPath才写新文件。操作可能断开网络，不能只看命令结束就认定已恢复。
powershell -NoProfile -ExecutionPolicy Bypass -File E:\Projects\Tools\ProxyClean\WifiRebind.ps1 -Mode AdapterResetWiFi 网卡禁用再启用（需管理员）：先禁用再重新启用选定 WiFi 网卡；禁用或启用失败会返回明确退出码和手工恢复提示。
pwsh -NoProfile -STA -File .\ControlCenter.ps1图形窗口的命令行启动方式：打开与双击入口相同的界面；入口本身只检查本机。旧 ProxyClean控制中心.vbs 已移至旧版入口，仅为兼容保留。
pwsh -File ProxyClean.ps1 -Preview -Json; pwsh -File ProxyClean.ps1 -Undo -Preview修复预览与撤销：两种预览均不改配置、不生成撤销文件。实际操作使用同一正式入口；恢复待处理时先处理原记录，不覆盖它。
快照怎样更新
本页现对齐 2026-09-24 已发布源 925de61814f49f30d6e58ccb03d819c030cdab12：修复客户端退出后 WinINET/用户代理变量的注册表写入，新增隔离回归。9 月 22 日图形入口、9 月 18 日路由/撤销和 9 月 14 日网络样本保留原证据日期；五张本人截图未绑定源码提交，也不证明当前网络修复。