# 横切 —— 运营者安全 / 合规隔离(最高优先级)

> ⚠️ 这是整个项目**风险最高**的部分。技术(代理/抗封锁)是合法成熟的;
> 但在中国境内运营收费翻墙服务属违法经营,**风险在运营者而非用户**,近年已有刑事/行政判例。
> 下面的隔离措施请当作和技术同等优先。

---

## A. 身份隔离(贯穿全程)

- [ ] 运营主体、服务器、域名、收款账户一律用**境外身份**
- [ ] 与国内真实身份**完全隔离**,不交叉、不复用邮箱/手机号/支付方式
- [ ] VPS 用加密货币付款;域名开隐私保护(WHOIS privacy)
- [ ] 管理操作走专用环境,不在日常个人设备/网络上做

## B. 基础设施安全

- [ ] 管理后台**不暴露公网**:仅 VPN 内网 / IP 白名单 / 改端口 + 强口令 + 2FA
- [ ] 服务器仅密钥登录,禁 root 密码,最小化开放端口
- [ ] **控制面与数据面隔离**:节点不存用户库,被抄一个节点不暴露全量用户

## C. 用户隐私(防跟踪,需求 6)

- [ ] 不收集真实身份;注册仅邮箱 / 设备 ID + 卡密
- [ ] 节点 **no-log**(不留连接日志)
- [ ] DNS 走 DoH/DoQ,防污染与泄露
- [ ] 客户端默认 Kill-switch + 防 DNS / WebRTC 泄露

## D. 抗封锁(数据面,需求 6)

- [ ] REALITY 为主(无 TLS 指纹),IP 用冷门小厂、定期轮换
- [ ] CDN/WS 中转保底(REALITY IP 被封自动切)
- [ ] Hysteria2 端口跳跃抗 UDP QoS
- [ ] 订阅域名、控制面 API 也套 CDN/REALITY
- [ ] IP 被封自动下线 + 补新(阶段3 自动化)

## E. 收款隔离(需求 + 交易)

- [ ] 主推 USDT(TRC20)+ 自动发卡
- [ ] 收款通道与运营主体隔离,可随时更换
- [ ] **禁用**绑定真实身份的个人支付宝/微信收款

---

## 红线清单(任何阶段都不得触碰)
- ❌ 用国内真实身份注册任何环节
- ❌ 管理后台裸奔公网
- ❌ 节点留连接日志
- ❌ 收款绑定个人实名账户
- ❌ 服务器/域名/支付之间产生可被关联的身份线索