星连开源 App 安全评测：凭据存储、连接退出与发布签名

这份评测能回答什么？

它回答的是：指定第一代开源客户端如何保存凭据、控制连接状态、调用原生核心，以及哪些发布与平台验证仍未完成。它不回答“现在的星连商用客户端是否完全安全”，也不提供VPN推荐分数。

VPNDevelop从客户端开发、凭据保护和版本交付的角度，对这个开源项目进行审查与分析。本文结合固定版本源码与2026年11月13日v1.0审查记录，说明问题的触发条件、实际影响和改进建议。测试结果引用该版本已有的本地验证记录，修复后的复测状态另行列明。

版本与依赖必须一起固定

适用App版本为 0cd87de00d3d3d972d4c39dcdf0fc03b95d14f68。报告同时固定协议依赖为 6540bf335d0b370453421dabebafc2d1fc8840ea，不能换成未来的主分支后继续沿用本页结论。

报告记录188个受版本控制文件，包含素材和平台模板。盘点这些文件不等于逐行审核所有依赖、生成文件或操作系统组件。重点审查范围是凭据序列化、核心接口、平台代理、移动隧道和构建配置。

已有测试记录以Windows x64为执行环境，正式Flutter基线为3.35.6 / Dart 3.9.2。测试未覆盖Android模拟器、iOS真机或macOS主机，也未完成Windows整套GUI发布构建；不能将这些本地结果外推到所有平台。

客户端架构与保护边界

层次	主要职责	必须区分的边界
Flutter界面与状态	导入节点、保存资料、连接/关闭、显示状态	界面显示“已保护”不等于所有应用流量已受保护
Dart FFI与Go核心	解析、启动、停止、状态查询及内存交接	正确加载核心和释放返回数据，需要专门测试
Windows / macOS	配置系统代理并尝试恢复旧配置	系统代理不是全设备封包隧道；忽略代理的软件可能直连
Android / iOS	VpnService / NetworkExtension与TUN桥接	源码中存在路由与DNS配置，不等于真实设备防泄漏已验证
构建与发布	依赖选择、核心封装、产物签名	原型能构建不等于具备可追溯的正式发布身份

桌面系统代理只覆盖遵循相关代理设置的程序。原始UDP、自带直连逻辑的软件及被绕过的本地地址，不能因为一个连接图标就视为已入隧道。固定版本README也明确区分桌面代理与移动端VPN实现。

如何解读测试结果，而不是只看“通过”

Flutter整套测试退出码为 1：77项可见成功之外，还有6项golden截图比对失败、2项跳过和1项清理错误。因此不能写成“全部测试通过”。报告将截图差异关联到跨平台字体和偏向macOS的参考图；这些失败本身不是加密或网络故障的证据，也不应重生成参考图来隐藏差异。

清理错误发生在Windows测试仍加载模拟DLL时删除临时目录。原始真节点测试和真实注册表测试因执行条件未满足而跳过。合成本机C ABI检查是另一组测试，不会补齐这两个缺口。

Go的 84.98% 是tunnel包181/213条语句的覆盖率，不是整个App的安全覆盖率。记录中的 12 ms 是本机HTTP 204功能探测时间，不是VPN延迟排名；1000次复制/释放循环也不是内存泄漏已排除的证明。

两项缺陷复现测试通过，表示测试成功观察到了不安全行为，而不是缺陷被修复。并发检测在有效运行前受ThreadSanitizer错误87阻断，不能据此宣布没有竞态。

隐私与DNS：源码检查不等于运营认证

报告未在所查第一方路径识别到独立分析SDK或例行流量载荷日志，但这不能证明生产节点不记录数据。设备上完整凭据的存储、客户端诊断记录和服务端运营日志是三个不同问题。

报告描述的DNS桥将拦截到的UDP 53查询经节点转换为TCP DNS。它不是“出口到上游也使用DoH或DoT”的承诺。客户端连通性探测、出口IP查询、节点域名解析和应用自己的DNS流量，也需要分别分析。

没有原生设备抓包、断网/换网和进程终止测试，就不能给出DNS、IPv6、WebRTC、持续断线保护或系统锁定模式的认证结论。本页同样不包含大陆网络可用性测试。

修复与复测应该如何安排？

1. 先保护凭据。 使用系统秘密存储，处理旧明文副本和备份；四个平台分别以合成凭据验证，不拿真实用户账号做演示。
2. 关闭连接时序缺口。 联合检查客户端A-02与协议层P-04，确认关闭返回后不再产生旧连接状态或代理写入。
3. 建立正式发布身份。 新环境生成产物，核对签名证书、来源版本和哈希；普通代码贡献流程不能读取正式签名秘密。
4. 补齐平台与工具测试。 验证权限拒绝、睡眠唤醒、进程死亡、换网、到期/撤销及真实网络路径；在兼容环境重新运行竞态检测，并处理截图基线与DLL清理问题。

此外，报告提出固定协议依赖与构建动作、限制发布版开发库搜索后备、明确连接警告和限制未完成DNS工作等加固建议。这些是后续检查方向，不应全部计成已经证实的远程漏洞。

复测记录

日期	记录	状态
2026-11-13	提供的v1.0报告：指定App与协议依赖的源码审查及有限本地验证	3项App发现未修复
后续版本	需新增修复commit、平台、测试证据及剩余限制	尚无复测证据，不标记已修复

“未修复”描述的是报告固定快照及其证据状态，不是在持续监控当前主分支。主分支提交有变化，也不能直接推断这些问题已经修复；需核对具体补丁并取得复测证据。本文不声称维护者已经回复或接受评级。公开前应确认问题披露范围和维护者沟通状态。

常见问题

开源就代表安全了吗？

不代表。开源让实现和版本可检查，但仍需要构建溯源、秘密存储、平台测试和问题修复。当前正式客户端与第一代开源原型也不能混为一谈。

两项中危是否说明已经发生用户数据泄漏？

不是。A-01确认存储行为，A-03确认签名配置；没有真实账户被盗、公开产物被伪造或生产数据泄漏的证据。风险必须连同前提与验证方法一起阅读。

未发现已知依赖漏洞，是否可以直接上线？

不可以据此判断。已知公告查询只针对特定版本和当时的数据库，不排除未知缺陷、原生平台问题或发布流程缺口。

这份报告证明当前星连VPN的速度或无日志政策吗？

不能。商用服务、真实节点和当前已安装应用不在本次范围；本地功能计时不能用于速度排名，源码检查不能替代运营日志审查。

怎么引用本页才准确？

建议注明“VPNDevelop开源项目审查与分析”、本页标题、App完整commit、协议依赖commit、具体问题ID和访问日期。引用测试结果时应保留本地验证条件和未覆盖平台，不应改写为对商业产品的安全认证。