@honeycomb #64
首先你的部分内容是偏题的，至少不应该放在本帖中说，本贴的内容是“小米新增了限制，导致用户不能降级 ROM，以及刷国际板 ROM ”。
1：这个“合理”和“不合理”只能说是对立面不好说，还跟你的账号有关。说句题外话，我的账号来说，我几台手机都是秒解的，具体这个风控策略是怎么样处理，只能说小米选择了目前的这个做法而已。
2：这个“应当或合理的做法”不是你我说合理就合理，应当就应当，我还可以说 Google 框架应当或合理预置在国产手机里，以保证 Android 完整体验，不是么。这显然不能作为指责的一个点。
3：Pixel 的做法有无遵守我朝某个工信部的规定，跟他能不能在中国销售是非常有关系的事情，也跟上述的 ROM 锁区和回滚保护有 100%关系。
4：看不出“合理”在哪里，只能看出挑的都是非国行手机。

ip rule 就可以实现
先新增一张路由表
然后通过 ip rule 设置规则就好了

我记得删了也会跳，跟官方反馈下吧，我也挺讨厌这个功能的，不过一般来说浏览器不是可以禁止应用启动的嘛？

@honeycomb #49 你可以举例说小米曾经推出过“ full OTA ”能通刷？
请充分理解“禁止刷签名不一致的 ROM ”，同时，根据你发给我的原文，你的 Pixel 和 Nexus 是会“验证它的签名，版本号”，所以请举例，小米之前的国际板签名和国内版一致，不用举例 Pixel/Nexus 了，销售策略不同，根本没有在华版，没可比较的吧？
把一个本来就不存在的东西，立成标靶不太好吧。

以及：这是两个功能

@honeycomb #43
请充分理解“禁止刷签名不一致的 ROM ”
举例 小米刷的是底包，根本就是不同签名，不解锁怎么刷？你可以举例说小米曾经推出过“ full OTA ”能通刷？

各大厂家的 bl 锁不是一直都是这功能么，佛了
这是两个功能
1 ）防止回刷低版本
2 ）禁止刷签名不一致的 ROM
很正常的功能，怎么就被喷了呢？

@mytry #71 窃取元数据跟 Cookie 没有什么联系呀，我们都不知道分光镜能不能做到管道重定向，现有的资料没有提。如果可以做到，管道级别的 MITM 攻击力不限于 cookie 噢。。不要总盯着 cookie 看啊。

我实话实说，如果 MITM 做的事可以多了去了，用酸酸 fq 不就是直接在 tcp 层面 redirect 了么，还有必要这么复杂么。。
LZ 这个条件就错了，危害性排序根本不一样。
MITM 相较于什么三方 cookie 危害性大多了，我打个比方，之前棱镜门还有通过分光镜在光纤上直接窃听元数据，就算你禁用了三方 cookie，直接 http 劫持，没设置 secure 的 cookie 不是一样出来了么。

@YQ94 #2 请问怎么改的呀？

@kisnows #19 理科是这样，但是之前有一个学业能力水平测试考文科的

@where2go #14 高考都有政治哦。。
这句话跟自由意志没有很大关系，这句话是在讲意识的来源问题。

高中政治必修 4 哲学那一本可能就有提到，“意识的内容是人脑对客观事物的反映。”
https://wenku.baidu.com/view/38c1676830b765ce0508763231126edb6f1a76b0.html
可以重新阅读下）逃

简单的来说就是很常见那个说法
[芝诺的知识圆圈说] 人的知识就好比一个圆圈，圆里面是已知的，圆外面是未知的。你知道的越多，圆圈也就越大，你不知道的也就越多。

https://www.jianshu.com/p/3d8f6293d480

了解下以前论坛很风靡的图片系统信息签名档

@yingfengi #34 开了的话，我觉得就是基于 DPI 方面，但是 DPI 方面误报非常高呀。最常用的基于 TCP 包时序检测，还有 timestamp，直接通过楼上各位说的通过路由器代理服务器就可以解决。简单地说就是把 FORWARD 动作全部取消，这类 DPI 就基本完全失效了。
其实这些设备说是行为管理，实际上更倾向于行为检测+人工行政手段干预一些，格则越严格误报率越高，学校一般这么搞是会被投诉的，所以我觉得大部分策略都没开这么严格。

@yingfengi #18 流量特征检测这个感觉是玄学

@Benson1212 #6 是的，不过你得抓包下，看看配置是否一样的。

@ypx5 #12 UA 检测，HTTP 劫持出一个 flash 做机器特征码识别，目前只看到这两种，用肯定是有用的。

@oovveeaarr #1 噢对了，如果是 padavan 的话，选择始终不要减小 TTL

深信服侵入式检测，Android 和 iOS 不要一起连
如果不给连手机的话，手机也不要连，手机和电脑通过 UA 检测
电脑和电脑检测通过 HTTP 劫持检测，屏蔽 TTL 为 127、189 的包就好，把防火墙加入路由器

iptables -I FORWARD -p tcp -m tcp --sport 80 -m u32 --u32 "5&0xFF=0x7F" -j DROP
iptables -I FORWARD -p tcp -m tcp --sport 8000 -m u32 --u32 "5&0xFF=0x7F" -j DROP
iptables -I FORWARD -p tcp -m tcp --sport 8080 -m u32 --u32 "5&0xFF=0x7F" -j DROP
iptables -I FORWARD -p tcp -m tcp --sport 80 -m u32 --u32 "5&0xFF=0x80" -j DROP
iptables -I FORWARD -p tcp -m tcp --sport 8000 -m u32 --u32 "5&0xFF=0x80" -j DROP
iptables -I FORWARD -p tcp -m tcp --sport 8080 -m u32 --u32 "5&0xFF=0x80" -j DROP
logger -t " [防火墙规则] " "防深信服劫持完成"

@kslr #7 是的，其实为什么宽带需求大的用的多，还有一个原因就是区分用户组，比如说 VIP 组服务器啥的，这就是 DNS 做不到的，说白了就是为了更高级的调度策略而已。
维护起来是比较麻烦的