sing-box路由规则中端口匹配的异常行为分析

问题概述

在开源网络工具sing-box的最新alpha版本(1.11.0-alpha.13)中，发现了一个关于路由规则端口匹配的异常行为。当配置中存在多个端口匹配规则时，如果前一条规则由于其他条件不匹配而跳过，后续的端口匹配规则可能会出现匹配任何端口的情况。

技术背景

sing-box是一个功能强大的网络工具，其路由系统允许用户通过多种条件(如端口、网络协议、域名等)来定义流量处理规则。在正常情况下，路由规则应该按照配置顺序依次匹配，只有当所有条件都满足时才会触发对应的动作。

问题复现

通过以下配置可以稳定复现该问题：

1. 配置一个mixed类型的入站监听在127.0.0.1:2080
2. 设置两条路由规则：
   • 第一条：匹配UDP协议且端口为443的流量，动作是拒绝
   • 第二条：匹配多个特定端口(18008,30006等)的流量，动作也是拒绝
3. 当通过curl访问HTTPS网站(端口443)时，虽然第一条规则由于协议不匹配(TCP而非UDP)应该跳过，但第二条规则错误地匹配了443端口

影响分析

这个bug会导致路由系统出现以下异常行为：

1. 端口匹配规则失效：特定端口的限制可能会被意外绕过
2. 安全风险：本应被拒绝的流量可能被错误放行
3. 规则优先级混乱：规则的执行顺序不符合预期

技术原理

从代码层面分析，这可能是由于路由匹配逻辑在处理端口条件时没有正确重置匹配状态。当一条规则由于其他条件不匹配而被跳过时，端口匹配条件可能被错误地保留并影响后续规则的判断。

解决方案

根据用户反馈，该问题在稳定版本1.10.1中不存在，说明这是新引入的bug。开发团队应该：

1. 检查路由匹配引擎中端口条件的处理逻辑
2. 确保每条规则的匹配条件都是独立判断的
3. 添加针对性的测试用例来验证多规则场景下的端口匹配行为

用户建议

对于受影响的用户，可以采取以下临时措施：

1. 降级到稳定版本1.10.1
2. 将关键的端口匹配规则单独放置，避免与其他规则混合
3. 密切关注项目更新，及时升级修复版本

总结

路由系统是网络工具的核心组件，其正确性直接影响流量的处理结果。这个端口匹配bug虽然看似简单，但可能对用户的实际使用产生较大影响。开发团队需要重视这类边界条件的测试，确保路由规则的精确匹配。