#17 @mikewang
#23 @lekai63

是的。我 #17 写的 external-controller 默认应该是 9090 。最好 7890 和 9090 两个一起改了。浏览器一定条件下也能检测 7890 端口的情况，不过读不到东西。

@Ashore 手机版 Clash 也能读出来吗（捂脸）
出乎意料了。按钮问题是主题设计的，我有空改下。

@ewiglicht 是的，加了密码也能扫出来。不过浏览器扫效率太低了，您看上面有很多说慢的（
另外连接数高了也会失败（漏掉）。所以加密码和高端口算是安全的。

#10 @ffnil > 这 Chrome 为啥不阻止网站访问 127.0.0.1

一个是本地调试很多都是在 127.0.0.1 ，另外就是向 QQ 一键登录等功能实际上也是在 127.0.0.1 上的，不过它的接口有鉴权。

@leilinJune @yjxjn @s4d 原理是默认端口，并且 API 没有上密码，就被读了。

在 yaml 里面，修改下面两个配置：

external-controller: '127.0.0.1:9090'
secret: 'xxxxxxx'

把 7890 改成随机高位端口，避免扫描； secret 改为随机密码（如果没有这个配置手动加上）。

---

如果被检测并读出服务器配置了，那么你之前可能一直在裸奔（

@oneisall8955 透明代理等不在 127.0.0.1 上的不会检测到。本质是探测 Clash 在本机的 API 端口。

@yyzh 手机端不用扫了（检测电脑端的

@Configuration @ByteCat
实际上常用端口排在最前面的，十秒内没扫到基本上是安全的。
后面虽然会扫整个 65535 ，实际因为浏览器性能低，而且会漏，作用不大。只是作为理论参考。

参考 https://v2ex.com/t/982608
端口处于打开状态，域名不正确选择直接关闭连接，可一定程度上避免基于 ip 的 http 扫描

不只是电信，移动也墙了。联通似乎还没有影响

#14 @aprilwei 据我所知，这方面与 Chromium 没有什么差异，使用 --headless 进入无头模式。

#15 @tool2dx 打开 chrome://flags/#keep-old-history 选项，可以保留 3 个月以上的记录。这个也是 ungoogled-chromium 特有的功能。

#17 @Biggoldfish 我个人觉得目的倒不是完全不用 Google ，而是一定程度上拒绝 Google 对 Chromium 的独裁。例如强制的自动更新可以去掉，旧历史记录我就是要保留，下载器隐藏了下载地址我再改回来。这些补丁由社区志愿者维护，没有商业公司的影响。

#20 @Shy07 可以的，我就是举个例子。在 ungoogled-chromium 上可以用 Google ，也可以不用。

@Shy07 去除 Google 遥测的一个兜底做法，就是从源代码里暴力替换掉所有 Google 域名，自然就没有 Google 搜索了（

@NoOneNoBody 插件可以通过 crx 安装。文中也提到了 chromium-web-store 。

以前用过 wkhtmltoimage ，不过现在看起来已经 archive 了

或者加上 --disable-features=DownloadsPageReferrerUrl

看了一下代码，应该是来自这个提交： https://chromium-review.googlesource.com/c/chromium/src/+/5589888
实际链接被隐藏了，写了个段代码恢复显示：

document.querySelector("body > downloads-manager").shadowRoot.querySelectorAll("downloads-item").forEach( dl_elem => {
let url_elem = dl_elem.shadowRoot.querySelector("#url");
url_elem.innerText = url_elem.href;
url_elem.removeAttribute("hidden");
url_elem.style.direction = "ltr";
});

只能回退到 126 版本了。127 开始就是这样

中国移动关闭 CMNET 、CMWAP 业务后可完全禁用数据，但是同时会失去 VoLTE 功能，通话声音很糊。