订阅分发、模板与规则

订阅链接 /s/{token} 是敏感凭据，不放进公开工单、分析 URL 或截图。泄露时由用户轮换链接，旧链接失效。独立订阅域名仍由同一业务 Worker 服务，需要出现在允许列表中。

节点选择顺序复制标题链接

选择管线依次执行：标签授权 → 运营排除/线路规则与健康开关 → 用户允许的条件 → 排序、数量限制和渲染。客户端策略组由模板生成，不能授予额外节点。服务器用户列表只看授权；维护节点可能仍接收已授权用户，但不进入订阅链接。

运营商线路来自 ASN 分组；没有可靠运营商识别时按用户允许参数处理。自托管可以配置本地 ASN 数据库（ASN_DATABASE_PATH）。检查后台预览、门户节点列表和真实客户端导入是否一致。

模板发布复制标题链接

LiquidJS 模板仅获得已过滤的视图模型，在限额沙箱内运行。使用内置样例预览并校验客户端格式，再发布；保留上一版以便回滚。失败时会回退内置模板，但仍需修复告警，不能把回退当作正常发布结果。

模板支持灰度与按客户端版本的规则，可导出兼容矩阵；泄露检测可选启用，检测到泄露时还可选择自动轮换链接（默认关闭；每个新事件只轮换一次，用户收到新链接通知，节点凭证不变）；运营者可开放用户自定义分流规则。节点命名模板中 {region_name} 是按订阅所有者语言显示的地区名（如“香港”），{region} 仍是地区代码。详见用户导入指南。