@superbai #14 https://twitter.com/waylybaye

实在有这样的顾虑，可以选择的替代品（不用自己编译）是 pass 而不是 1Password 等更闭源的软件
https://www.passwordstore.org

它就是一个纯文本文件，bash 脚本，里面无非就是不断调用 gpg 、git 、vi 等工具。抛开「你的操作系统、bash 、gpg 、git 、vi 等程序有问题」等这些极端情况，pass 相信可以完美解决 OP 对二进制分发的密码管理器的顾虑。

> file /usr/local/bin/pass
/usr/local/bin/pass: Bourne-Again shell script text executable, ASCII text

至于体验（尤其是手机上的体验），就别要求太高了。可以只用它来存重要的密码，放弃手机端。

@Kakarrot
@lang1pal #6 点进去看好像 Amazon 卖的礼品卡也没优惠？而且还是 US$ 25 起售。

官网 https://www.apple.com/shop/buy-giftcard/giftcard 也是原价，US$ 10 起售，也能用银联卡（可能游客不行？付款时可能需要登录一个已经绑定银联信用卡的国区 ID ？）

这么一对比，除非是重度 Amazon 用户，感觉好像没有在 Amazon 购买的理由

我现在自建 Vaultwarden 和 1Password 都在用，感觉自建 Vaultwarden 在加了一堆自动备份 buff 之后安全性（指不丢数据）也很不错啊😂

Vaultwarden 功能上比 1Password 简陋，不支持 Markdown…… 但是仔细想一下，也没有什么非 1Password 不可的，编辑体验好点儿差点儿也就那样

话说回来 iOS 1Password 8 我觉得最喜欢的更新就是解锁后那个震动😂

@xianzhe #6
#3 楼第 2.* 点「无法基于域名进行规则匹配」，这种情况其实 #4 楼也提到了。

也不是说 Clash 代理功能会失效。考虑以下例子。假如你 Clash 有这么 3 条规则：

DOMAIN-SUFFIX,google.com,proxy
GEOIP,CN,direct

MATCH,direct

====

然后，假设你浏览器要访问 www.google.com ，但是它没有把域名交给 Clash 解析，而是自己解析出来了，比如说 172.217.27.36 ，然后它把这个 IP 发给 Clash 说，我要连接这个 IP 。

由于 Clash 只拿到了一个 IP ，它无法匹配到第一条规则，当然第二条也不行因为这个 IP 不是 CN 的，最后就 MATCH 了最后的兜底规则，然后直连，然后连不上。

====

如果你的浏览器配置为，将域名交给 Clash 解析，那么浏览器就会把 www.google.com 这个域名不解析直接交给 Clash ，Clash 一看，好，匹配第一条规则，甩给远端 proxy 。这样你就能上 Google 了。

@mschultz #3 补充：

A. 看到 OP 说 Clash 似乎没开启内置 DNS ，那么 Clash 内部如果遇到需要 DNS 解析的情形（比如浏览器扔过来一个域名，且 Clash 判断为直连或者需要测试 IP-CIDR 规则），应该会直接请求系统默认的 DNS 解析。

B. IP-CIDR 规则后面如果加了 no-resolve 参数，Clash 拿着域名遇到这条 IP 规则的时候就不会尝试把域名解析成 IP ，而是直接跳过。

浏览器使用哪个 DNS 一般受到设置影响，这个问题涉及到的 cases 有点儿多，我以 macOS + Firefox + Clash 的组合举几个例子。假设 Clash 开启了内置 DNS 功能：

========

1. Firefox 网络设置中，Clash 为 SOCKS5 代理，且勾选了 "Proxy DNS when using SOCKS v5"，那么 Firefox 会将域名解析工作交给 Clash 。Clash 拿到 Firefox 给过来的域名后，开始自上而下进行规则匹配，又分为如下情况：

1.1.1 如果遇到了一条 IP-CIDR/GEOIP 类规则，Clash 就会用内置的 DNS 将这个域名解析成 IP ，然后继续比对规则，直到匹配到一条规则或者 MATCH 。

1.1.2 如果 Clash 在比对规则过程中，在遇到任何 IP-CIDR 规则 **之前** 就抢先匹配上了一条域名规则，且这个规则要求该域名走代理节点，那么 Clash 不会解析该域名，而是会直接把域名扔给远端代理节点去解析。如果这个规则要求该域名直连，则 Clash 会解析该域名然后直连。

========

2. Firefox 网络设置中，Clash 为 SOCKS5 代理，但是不 "Proxy DNS when using SOCKS v5"，那么 Firefox 会首先以自己的默认方式尝试解析这个域名（即请求操作系统解析）为 IP ，然后将建立连接的请求转发给 SOCKS v5 代理即 Clash 。

2.* 此时如果打开 Clash 的面板，你会观察到一个现象就是 Firefox 过来的连接全都是 IP 地址，看不出连了哪个域名。因此，在这种工况下，Clash 无法进行基于域名的规则匹配。

========

在 1 情况下，Firefox 内开启「浏览器内置 DoH 」没什么用。

在 2 情况下，开启浏览器内置 DoH ，Firefox 自行解析域名时会优先使用内置 DoH ，其次 Fallback 到系统（具体是否 Fallback 理论上取决于 network.trr.mode 设置 ）

========

你可以看一下这些过程里有哪些步骤发生了 DNS 解析。也可以顺着这个思路自己分析、测试、观察一下其他情况下浏览器实际使用了什么 DNS 。

2 个测试 DNS leak 的网站： https://www.dnsleaktest.com
https://www.astrill.com/vpn-leak-test

References:

- https://blog.skk.moe/post/what-happend-to-dns-in-proxy/
- https://blog.skk.moe/post/i-have-my-unique-dns-setup/

@JimmyLX #7 虽然我目前用的是 Mastercard ，但我看到 Payments 有银联的标志

https://i.imgur.com/hEe8CEvh.png

@LancerComet 提示是如果不改 86 手机号可以上传身份证明文件照片，至于审核严不严这个我倒是确实不知道，没试过，哈哈

@LancerComet #8 知乎（从目前趋势来看，国内所有主流社交平台可能都这样）不是要么用国内手机号，要么人工实名认证么…

不然就只能当成一个只读网站，一个字都发不了？

@mschultz #3 BTW 国外很多大厂是支持银联信用卡支付的，比如 Amazon 美国，Apple 美国。不过看了下 Google 好像确实不行。

2 楼正解，楼主你想申请的那个 VISA 卡叫「主卡」。所谓「附属卡」就是账挂在你名下，但持卡人姓名是你父母子女或者配偶等。

招行那张 VISA 卡，消费美元 [默认] 好像是自动用人民币入账的，按入账当天招行汇率（当然你也可以要求修改入账方式，比如要求保持美元，你甚至可以跑营业厅去用美元还款，就是比较蛋疼）。

消费和 YOUNG 卡的消费记录混在一起，额度共享，还款的时候一笔还。你这种情况，加办一张卡对你的招行户口没什么影响，只有好处。

（ 1 ）注册 [国内] App 感觉没有太大意义：大厂比如支付宝微信等涉及到支付的，总会要你以其他方式实名。这些国内 App 绑定国内手机号更靠谱，遇到技术问题也方便解决。小厂的话，除了那些根本不支持海外号码的，和一些不值得注册的野鸡网站，感觉也不剩下多少了（

- 绑定微信用于变成 WeChat 算是一个用途，不过要自己权衡利弊。变 WeChat 后，有更宽松的敏感词屏蔽（话说这有意义吗？）、有 iOS CallKit ，但是也可能连到奇怪的海外服务器导致降速，有被风控风险 blahblah

（ 2 ）理论上注册海外某些 App 可以用来规避国内（可能的）监控，比如 Google Voice 注册 Telegram 可以理论上可以避免国内运营商知道你收了 Telegram 验证码；以及避免泄露国内身份

我把主密码设置成了一个自己能轻易记得的简单密码 + YubiKey static password （长按自动输入）组合

除此之外，还把主密码备份在了一些拐弯抹角的地方😂

@mschultz #3 仔细看了一下，Usage 那个功能页面( https://imgtu.com/i/vM3WS1 )还在，但是 Last updated by 中国联通 on 4 Apr 2022.

我的 iOS 15.6 还有

@ZE3kr #6 而且我好像从来没见过[港区][电子版]的 App Store/iTunes Gift Card ，似乎这东西不存在。香港的便利店里倒是有卖实体 iTunes Gift Card 。

Mac 下浏览器（刚才试了 Safari 和 Firefox ）右键点击 Save Image As... 的时候是可以记住上次保存的文件夹的。所以你每次 Save Image As... 就可以了，不要直接点 'Save Image to "Downloads"'

@fkdtz #15 根据设置的位置推测，是给卡口的人听的。因为官方声音设置的入口在「到访人信息登记薄」里面，也就是场所管理人有权开关这个声音播报。