在 Windows 上使用 Clash 或基于 mihomo 内核的客户端时，浏览器通常可以正常访问代理，但 Microsoft Store 应用、Xbox 相关组件、照片、邮件或其他 UWP 应用仍然显示离线。这类现象经常被误判为订阅失效，实际可能发生在应用连接本机代理端口之前：Windows 的应用容器默认受到回环访问限制，不能随意连接运行在本机 127.0.0.1 或 localhost 上的服务。
这里的“回环”指设备访问自身网络接口的路径。Clash 的 HTTP、SOCKS 或混合端口往往监听在本机地址上，传统桌面程序可以直接连接，而 UWP 应用还要经过 AppContainer 的网络隔离策略。解除对应应用的回环豁免后，再核对系统代理、端口和规则模式，通常就能把问题定位到具体环节。
一、UWP 回环限制通常怎样表现
UWP 应用采用应用容器运行，每个应用具有独立的身份和权限边界。系统代理设置可以告诉应用将请求交给某个代理，但应用是否允许访问本机监听地址，还受到网络隔离规则影响。Clash 正常运行并不等于每个应用都已经获得访问本地代理的权限。
常见表现包括：Microsoft Store 能打开但应用下载一直等待；Xbox、游戏启动器或天气应用提示无法连接服务；Windows 设置中的账户同步失败；浏览器经过 Clash 访问正常，但从商店安装的应用仍显示无网络。若把 Clash 的混合端口改成局域网地址，部分请求可能出现变化，但这不是首选修复方式，因为它会同时引入监听范围、防火墙和局域网暴露等新的变量。
还要区分 UWP 应用和普通桌面应用。应用名称相同，并不代表网络实现相同。例如从 Microsoft Store 安装的版本可能运行在应用容器中，而官网安装包属于 Win32 桌面程序。前者更容易受到回环隔离影响，后者通常可以直接使用系统代理或访问本机端口。
二、先检查 Clash 的监听地址与端口
解除回环限制前，先确认客户端确实有一个可用的本机代理入口。不同 Clash 客户端的界面名称可能不同，但核心配置通常包含 HTTP 端口、SOCKS 端口和混合端口。混合端口可以同时接收 HTTP 与 SOCKS 请求，适合在系统代理入口只有一个地址时使用。
- 打开 Clash 客户端的设置或常规页面，记录当前启用的 HTTP、SOCKS 或混合端口。
- 确认监听地址为本机回环地址，例如
127.0.0.1，并确认端口没有被其他程序占用。 - 在 Windows 的“设置 → 网络和 Internet → 代理”中检查手动代理是否指向同一个地址和端口。
- 在 Clash 的连接或日志页面观察 UWP 应用启动时是否出现请求。
如果系统代理填的是 HTTP 端口，而实际填写成了 SOCKS 端口，部分应用会直接报连接错误。反过来，某些只支持 HTTP 代理的系统组件也不能把 SOCKS 端口当成普通 HTTP 代理使用。端口号应以当前客户端页面或配置文件中的实际值为准，不要沿用其他设备上的默认设置。
还应检查系统代理是否被其他软件接管。VPN、网络加速器、抓包工具和企业管理策略都可能修改 Windows 代理设置。如果 Clash 日志中完全没有 UWP 应用的请求，问题大概率发生在代理入口、应用权限或系统代理选择阶段；如果日志中已经出现请求，则应继续查看规则匹配和节点响应。
三、使用 Windows 工具解除回环访问限制
Windows 提供 CheckNetIsolation 命令管理应用容器的网络隔离例外。操作的关键是找到目标应用的 Package Family Name，也就是应用包系列名称，而不是桌面快捷方式显示的名称。包名称写错时，命令可能执行失败，或者豁免了另一个相似应用。
方法一：使用图形化回环豁免工具
可以使用可信来源提供的 Windows 回环豁免管理工具，选择需要联网的应用并应用设置。工具列表通常会显示应用名称和包标识，勾选目标应用后保存，再完全退出并重新打开该应用。应用更新后包身份一般仍可保持，但如果安装了不同渠道的版本，仍需重新确认实际包标识。
图形化工具适合不熟悉命令行的用户，但操作前要核对下载来源、工具说明和目标应用名称。回环豁免属于本机网络权限设置，应只选择确实需要连接本机代理的应用，不建议对列表中的所有应用一律放行。
方法二：使用 PowerShell 或命令提示符
以普通用户权限打开 PowerShell 或命令提示符，先查看当前回环豁免列表：
CheckNetIsolation LoopbackExempt -s确定目标应用的 Package Family Name 后，使用以下格式添加豁免：
CheckNetIsolation LoopbackExempt -a -n=应用的PackageFamilyName其中 应用的PackageFamilyName 需要替换为实际值，不能直接照抄示例文字。也可以通过 PowerShell 查询已安装的应用包信息，再根据显示名称筛选。例如：
Get-AppxPackage | Select-Object Name, PackageFamilyName完成添加后，可以再次执行 CheckNetIsolation LoopbackExempt -s 确认条目已经出现。随后退出目标应用，必要时从任务管理器结束其后台进程，再重新启动。仅关闭窗口并不一定会终止 UWP 应用的后台实例，因此重启后仍无变化时，先完成一次彻底退出。
四、解除限制后仍无法联网的检查顺序
回环豁免生效后，若 UWP 应用依然离线，可以按“应用入口—代理端口—客户端日志—规则与节点”的顺序检查。这个顺序的好处是先判断请求有没有到达 Clash，再决定是否需要修改配置。
1. 确认应用是否使用系统代理
并非所有应用都遵循 Windows 的手动代理设置。有些应用使用系统 WinINet 代理，有些使用 WinHTTP，还有些在应用内部提供独立的网络选项。可以先检查 Windows 代理开关和地址，再查看应用自身是否有代理、网络或下载设置。若应用完全绕过系统代理，单纯修改 Clash 的 HTTP 端口不会产生效果。
2. 核对端口类型与监听状态
系统代理通常需要 HTTP 代理入口；如果客户端只启用了 SOCKS 端口，需要在客户端启用混合端口或正确配置兼容的 HTTP 端口。端口被其他服务占用、客户端重启后端口改变、配置文件与当前界面使用的配置不一致，也会造成看似偶发的连接失败。
3. 观察日志判断请求是否到达
启动 UWP 应用并执行一次刷新，在 Clash 的连接记录中查找对应域名。完全没有记录，优先回到应用代理入口、回环豁免和防火墙检查；有记录但显示拒绝或超时，则继续查看策略组、节点延迟和 DNS 结果；记录显示直连但服务不可达，则可能是规则命中或直连网络本身的问题。
4. 检查规则模式与策略组
规则模式下，请求会依照配置中的规则顺序匹配，再交给相应策略组。规则可能把 Microsoft、登录服务、更新服务或静态资源分到不同策略组。测试时可以暂时切换到全局模式，以判断故障是否由规则分流造成；测试完成后应恢复适合日常使用的模式，并根据日志调整规则，而不是长期依赖全局模式。
5. 检查 DNS、时间和系统安全策略
应用能连接代理端口，却无法解析域名时，应检查 Clash 的 DNS 配置、系统 DNS 和当前网络是否拦截相关查询。系统时间明显错误会影响 HTTPS 建连和应用商店认证。企业设备还可能通过组策略、代理自动配置脚本或安全软件限制应用网络访问，这些设置需要按照设备管理规则处理。
五、何时考虑 TUN 模式
TUN 模式通过虚拟网络接口接管更底层的流量，使一部分不遵循系统代理的程序也能进入 Clash 的处理路径。它适合需要覆盖多个应用、游戏或系统组件的场景，但启用后涉及虚拟网卡、路由、DNS 和管理员权限，排查复杂度也会提高。
如果目标只是让一个 UWP 应用访问本机 HTTP 代理，优先处理回环豁免和系统代理即可；如果多个应用都不读取系统代理，或者应用本身没有代理设置，再考虑 TUN。启用前应记录当前配置，确认客户端支持的 TUN 实现，并留意与其他 VPN、虚拟网卡、局域网共享软件之间的冲突。
TUN 开启后仍要看 Clash 日志和规则命中结果。流量进入 TUN 并不代表一定使用代理节点，规则可能将其分配到直连、拒绝或某个策略组。若出现局域网设备无法访问、DNS 循环或网络断开，应先停用 TUN 验证范围，再逐项检查路由和 DNS 设置。
六、适合保存的快速排查清单
- 浏览器是否能通过 Clash 正常访问，客户端是否显示运行中。
- UWP 应用是否来自 Microsoft Store，是否属于应用容器环境。
- 目标应用的 Package Family Name 是否正确，回环豁免列表是否已经出现。
- Windows 系统代理的地址、端口和代理类型是否与 Clash 当前监听项一致。
- 应用启动和刷新时，Clash 连接日志中是否出现目标域名。
- 请求进入后，规则命中的是代理、直连还是拒绝策略。
- 是否存在其他 VPN、代理软件、企业策略或防火墙改变网络路径。
- 确认系统代理无法覆盖应用后，再评估 TUN 模式和虚拟网卡方案。
这类故障的核心不是反复更换订阅，而是确认请求经过了哪一层。UWP 回环限制解决的是“应用能否访问本机代理入口”，端口设置解决的是“应用连接到哪个代理服务”，规则和节点检查解决的是“请求进入 Clash 后如何转发”。按层次逐步验证，通常可以避免把权限、代理入口和配置分流混在一起修改。