摘要：两处漏洞都能绕过代理暴露真实身份：DNS 请求走本地、WebRTC 直连暴露本机 IP。堵法是让 DNS 走远端，并在浏览器里关掉 WebRTC 或让它走代理。
一分钟速查
- DNS 泄露：DNS 请求走了本地，暴露访问记录。
- WebRTC 泄露：浏览器泄露真实 IP。
- 堵 DNS：代理流量走远端 DNS。
- 堵 WebRTC：关掉 WebRTC 或让它走代理。
泄露有什么危害
暴露访问记录
DNS 走本地，运营商能查到你看过哪些域名。
暴露真实 IP
WebRTC 泄露会直接把真实 IP 传给网站。
隐私叠加泄露
真实 IP + 访问记录，能拼出你的身份和上网习惯。
怎么检测泄露
DNS 检测
用泄露检测网站，看 DNS 是不是走代理。
WebRTC 检测
检测网站会显示真实 IP 有没有泄露。
怎么堵漏
客户端分流
Clash 系默认代理走远端 DNS，检查配置。
关 WebRTC
浏览器设置里关掉 WebRTC，或用扩展。
用客户端代理全局
让浏览器流量都走代理。
关于泄露的 3 个误区
- 「开了代理就绝对安全」——DNS/WebRTC 泄露照样暴露；
- 「泄露检测全绿就没事」——要定期复测，配置变了会再泄露；
- 「只有浏览器会泄露」——其他 App 的 DNS 请求同样可能走本地，客户端全局代理更稳。