Surge TestFlight Feed

Surge Mac Beta 6.7.0 now supports Tailscale as a proxy policy. With this feature, Surge can join your Tailscale tailnet directly and route selected traffic through Tailscale peers using the existing Surge rule system. You can use Tailscale IPs, and tailnet-only services together with Surge policies, policy groups, DNS handling, traffic logging, and rule-based routing. Please check Surge Knowledge Base for more information: https://kb.nssurge.com/surge-knowledge-base/guidelines/tailscale

A Brief Update on Surge The Surge team has recently gone through several internal changes, and we would like to share a few updates with our users. Support Operations We have expanded our support operations by adding dedicated customer support staff and technical specialists. This allows us to respond to inquiries more efficiently while keeping our engineering team focused on product development. Communication Channels We are currently reorganizing our external communication channels. As part of this effort, we have launched a new official blog to share technical details about Surge and insights from our development process. SOC 2 Alignment We have begun aligning our internal processes with SOC 2 requirements. This work reflects our continued investment in improving operational maturity, security practices, and overall reliability. It is especially relevant for enterprise customers with strict security and compliance expectations. Product Development We know many users are most interested in what’s next for Surge. Since the official release of Surge Mac v6 on July 1, 2025, we have shipped 428 beta builds, 14 stable releases, and nearly one hundred improvements and optimizations in less than a year. The full release history is available in our release notes: https://nssurge.com/support/mac/release-notes. At the same time, we are actively working on Tailscale integration. While we are not ready to provide a formal ETA, we expect an early beta to be available soon. As always, our focus remains on shipping features only when they meet the standards of quality and system-level integration that users expect from Surge. Thank you for your continued support and patience. More updates will be shared as work progresses. https://nssurge.com/blog/a-brief-update-on-surge/

Surge Mac Tips 由于现在很多应用程序包内存在多个二进制文件，因此传统 PROCESS-NAME 规则配置需要多条才能完全匹配。 自 Surge Mac 6.0 版本开始，PROCESS-NAME 规则的用法就已经扩展，当以 / 结尾时将进行前缀匹配，如 PROCESS-NAME,/Applications/ChatGPT.app/ 可匹配 ChatGPT.app 应用包内所有二进制。 详见：https://manual.nssurge.com/rule/process.html

Surge iOS & Mac Beta 版本更新日志 • Surge Mac 版本现在可以通过 UI 编辑策略组图标，同时除了 URL 图标，也可以使用 Emoji、Surge 内置图标库和 SF Symbols。 • 策略组图标现在直接写入配置。 • iOS 版本的图标配置存储逻辑调整，现在在配置文件可编辑的情况下，将优先写入配置，以保证和 Mac 版本互通。仅当配置为只读配置时，使用独立的 UI 配置文件存储。

Surge iOS & Mac Beta 版本更新日志 - HTTP/2 CONNECT 和 TrustTunnel 代理现在支持 multiplex，由于过多子链接复用同一个 TCP 连接，可能产生性能问题，因此默认只允许最多 3 个子连接，可通过配置策略参数 max-streams 调整。

关于部分历史协议维护状态的调整 以下历史协议后续将进入维护冻结状态： * AEAD 版本之前的旧版 Shadowsocks * TUIC v4 * VMess 相关协议的核心代码和兼容能力仍会保留，现有配置不会受到影响；但后续版本中，对应的 UI 配置入口将逐步移除。

Surge iOS & Mac Beta 版本更新日志 - 新增 HTTP/2 CONNECT 代理支持，可通过 h2-connect 类型配置基于 HTTP/2 的 CONNECT 代理连接。 - HTTP, HTTPS, HTTP/2 CONNECT, TrustTunnel 代理现支持自定义请求头，可在代理配置中使用 headers= 添加额外 header，例如：

Proxy = http, example.com, 8080, headers=X-Client:Surge;X-Token:abc
Proxy = h2-connect, example.com, 443, headers=X-Padding:<random-string(16-32)>

自定义 header 支持 <random-string(n)> 与 <random-string(min-max)> 占位符，连接时会自动生成 URL-safe 随机字符串，适用于需要动态 padding 或请求特征扰动的场景。

关于 Surge iOS 功能更新订阅机制的调整 自 Surge iOS 推出功能更新订阅机制以来，我们一直希望在「持续演进产品能力」与「保障长期使用体验」之间保持合理的平衡。经过评估，我们决定进行如下调整： 1. 未来新增的所有代理协议兼容支持，将不再纳入功能更新订阅范围，所有用户均可直接使用。 2. 现已实验性支持的 TrustTunnel，也不会存在订阅限制，可以直接使用。 我们认为，协议兼容性应当作为长期稳定提供的基础能力，而不是阶段性的增量功能。这意味着，未来用户无需因为订阅状态，而担心基础协议支持的可用性；新的协议兼容能力也能够更直接、更持续地向所有用户开放。 调整后，订阅更新将更聚焦于新的高级功能，而协议兼容性本身，则会作为产品的长期基础能力持续维护。 与此同时，代理协议生态本身也始终处于持续变化之中。一些协议会不断演进，也有一些协议会逐渐退出主流使用场景。为了保证 Surge 长期稳定的代码库维护与整体产品质量，我们也会结合实际使用情况，对部分历史协议进入维护冻结状态，或在未来逐步结束支持。 我们会尽可能谨慎地处理相关调整，并提前进行说明，以减少对现有用户配置与使用体验的影响。 感谢大家一直以来的支持与反馈。

关于 Surge 用户交流群的说明 近期，我们多次收到与部分 Surge 用户交流群相关的邮件，包括请求协助处理群内争议、解除封禁等事项。对此，我们希望再次说明： * 各平台上的 Surge 用户交流群均由用户自发创建和维护，Surge 团队从未参与其管理，也不具备任何控制权。 * 部分交流群中的热心用户会整理社区反馈，并转达给我们参考。这是我们了解用户意见和建议的渠道之一。但除此之外，Surge 团队与相关交流群不存在其他合作或管理关系，群内用户及管理员的言论也不代表 Surge 团队立场。 * Surge 官方讨论社区为：https://community.nssurge.com/ 。该社区仅用于技术相关的讨论与交流。该 Telegram 频道则为唯一官方公告渠道。 感谢各位的理解。

Surge iOS 5.18.0 版本已提交 App Store 审核，更新日志： 新的订阅功能：Logbook 日志簿，用于持久化记录发生的各种事件， - 目前包含引擎启动和停止、网络切换、脚本启动和停止、脚本超时等事件 - 日志簿为脚本调试进行了特别优化，可以轻松查看脚本的输入、输出和日志。同时，脚本可以使用 $surge.logbook("content") 主动写入内容到日志本 - Surge Mac 的 Surge Dashboard 可读取远程 Surge 实例的日志簿内容，包含脚本的运行细节均可以远程直接访问 其他改进 - 为所有 TLS 相关功能（如代理协议，MITM，DoH/DoT/DoH3）新增对 X25519MLKEM768 后量子混合密钥交换组的支持 - 优化 $persistentStore 管理页面，新增搜索、导入导出、全部删除等操作 - 重构 QUIC 协议的内存管理，解决在特定情况下，QUIC-based 协议可能出现突发内存占用过高导致 Surge 被系统停止的问题 - 修正使用 Trust Tunnel 时出现的内存泄露问题 - 修正极低概率下出现的一个崩溃问题 - 修正开启 HTTP API TLS 时，API 请求可能卡住的问题 - 修正 UI 上的一些细节问题

脚本远程调试功能得到了进一步强化

Surge iOS/macOS Beta 更新日志 Logbook 日志簿功能现已在 Surge Mac 和 iOS 版本中加入，Logbook 用于持久化的记录事件，在 Surge 关闭后也不会丢失。（现在版本默认只保留最近 7 的事件） - Surge Dashboard 支持读取远程实例的 Logbook 内容，同时支持查阅脚本类型记录的输入输出，以及日志输出。对端可以是 Surge iOS 或 Mac，所有内容均支持远程载入。 - Mac 版本已加入配置重载、网络切换、崩溃恢复、更新、DHCP 相关的 Logbook 写入。更多日志信息将在更新中持续加入。

已完成订阅展期

使用提示 Surge Mac 6.5.0 新增了对 `compatibility-mode = 5`，非 default 路由的工作方式的支持。用于解决特定的兼容性问题（如 HomeKit Camera）。 该模式下由于 Surge VPN Interface 并非首选 Interface，因此不会修改系统的默认 DNS，但是会通过 Split DNS 机制进行 DNS 劫持。不过该机制仅对 GUI 程序有效，对 CLI 和部分 GUI 程序无效。 如果希望在该模式下依然完整劫持 DNS，请先将首选的 Interface（如 WiFi）的 DNS 修改为任意公网地址（不可使用 LAN 地址），同时再配置 hijack-dns 参数进行劫持即可。

关于 Surge iOS 版本的功能订阅更新 我们了解到部分用户对近期 Surge iOS 的订阅功能更新不够频繁表示失望，因此对该问题进行说明和解决。 Surge iOS 自发布起已超过了十年，我们曾经的很多想法都已经被一个个的实现，因此，对于现在 Surge iOS 来说，想出一个新的功能并不容易。同时，为了保证用户体验，一些小型的新功能，也不会放入到订阅限制中。 对于我们的研发精力来说，其实有大量的精力放在了原有功能的改进与优化上，比如说最近更新加入的 X25519 + ML-KEM-768 后量子（混合）密钥交换支持，就要求我们从原本的 OpenSSL 实现切换至 BoringSSL，这涉及到大量的重构和测试。或是像去年跟随 Surge Mac v6 同步更新的最新 Surge VIF 引擎实现。这些都耗费了我们大量的研发精力，但是并没有纳入到订阅更新点中。 当然，由于 Surge iOS 的功能订阅，同时具备时间维度上向前与向后的延伸，我们充分理解连续订阅用户关于订阅功能点更新不够频繁的失望。因此我们建议所有用户取消自动续订开关，仅在 Surge iOS 提供了你所需要的新功能时，再进行订阅，这也是我们推出该订阅模式的初衷。即使不进行订阅，你依然可以免费享受到改进型更新，只需要为有需求的功能付费。 同时，由于我们研发人员的精力分配和开发进度的关系，我们也很难保证订阅更新的功能点可以稳定地推出，有时可能一个月就会有两个新功能，有时可能长时间都没有。因此我们现在推出一项改进，如果 Surge iOS 连续 90 天都没有推出新功能，那么在这期间存在订阅期的用户，订阅期将自动延期 90 天。 （举例来说，目前上一次订阅功能更新日是 2025 年 12 月 11 日，假如授权有效期是到 2026 年 2 月 1 日，那么订阅将自动被延期到 2026 年 5 月 1 日。） 我们将在未来数日更新授权系统进行展期，感谢您的支持和理解。

关于 VLESS 协议的说明 我们长期收到用户关于支持 VLESS 代理协议的请求。鉴于围绕该协议存在较多争议，我们过去倾向于避免公开回应，以免引发不必要的讨论与争端。然而，持续的沉默本身也被部分解读为一种态度，甚至产生了一些误解与猜测。基于这一现实情况，我们决定对相关问题进行一次正式说明。 （由于 vless / vision / xtls 等名称本身缺乏统一且明确的定义，下文将以「VLESS」作为整个协议族的统称。） 加密代理协议社区始终保持着高度活跃。从早期的 Shadowsocks，到后来的 Trojan、ShadowTLS、TUIC、Hysteria、AnyTLS 等项目，不同开发者持续提出新的设计思路，并在开放讨论与相互借鉴中推动技术演进。许多项目均由开发者无偿投入时间与精力完成，对整个生态产生了积极影响。 因此，当新的项目具备成熟度与稳定性时，我们通常乐于进行支持与适配。尽管 Surge 本身并未直接参与开源代理协议项目，但我们与部分协议作者保持着良好的私下沟通，也会就实现细节与 issue 进行技术层面的交流。我们对此一直保持开放性态度。 然而对于 VLESS 协议，由于其设计改变了传统 TLS 的分层边界。若要实现支持，需要对上游 TLS 库（如 OpenSSL/BoringSSL）进行定制化修改，这意味着后续无法直接跟随上游更新，增加整体 TLS 子系统的复杂性与安全评估成本。 此外，XTLS 将 TLS 从传统的端到端数据保护层重新定位为一种会话引导机制，把原本由标准协议层提供的完整性保障，部分转移到应用自行定义的数据路径之上。这种跨层设计虽然带来了某些特性，但降低了安全边界的可验证性。 相比之下，Trojan、TUIC、Hysteria、TrustTunnel 等协议均建立在标准 TLS 实现之上。标准化 TLS 经过长期实践验证，是目前应用最广泛且成熟度最高的加密隧道。 事实上，针对用户的需求，我们早已完成了一份 VLESS 协议的实验性实现。然而，代码的完成并不代表产品的就绪。正如前文所述，由于该协议目前需对底层 TLS 库进行非标准修改。如果现在将其合并进主分支，意味着我们要把巨大的维护风险和潜在的不稳定性带给所有 Surge 用户，这不符合我们对产品稳定性的要求。 除此之外，VLESS 协议的特性更新非常频繁，缺乏稳定且可依赖的文档和 specification，我们对这种探索性精神表示支持，但对于产品化来说，这种频繁的变动和复杂的参数配置，将对用户体验带来巨大的挑战。 所以我们依然在观察支持 VLESS 协议的必要性，如果最终确实被广泛采纳使用，或者产生了比其他 TLS 类协议的明显优势，或者有了完整的协议 specification，我们会第一时间重新评估合并事宜。 为了避免产生更多的误解和猜疑，我们在此承诺，如果未来 Surge iOS 版本决定加入 VLESS 协议支持，将作为一项免费更新推出，所有用户均可直接使用。以此表明我们绝非因为商业原因而故意延后支持。（Surge Mac 版本用户可以通过 External Proxy Program 机制进行使用） 希望您可以理解我们的决定，我们对造成的不便感到歉意。

Surge Mac Beta 更新日志 现在已支持像 iOS 版本一样为策略组配置一个图标。需手动配置 icon-url 字段。目前没有 UI 设置页面。

Surge Mac Beta 更新日志 • Surge 现已完全支持 AI agent 的技能操作。我们已内置了如何使用 surge-cli 操作 Surge 的说明，并已完全开放 surge-cli 的全部能力。请将以下内容告知支持技能的 agent 以便使用： 安装 /Applications/Surge.app/Contents/Resources/Skills/ 目录中的 skill，使用符号链接进行安装，以确保该技能可随应用程序包一同更新。 • Skill 已完成对 codex 的 metadata 适配 • 目前 skil 中尚未包含关于配置修改的能力

关于带宽测试功能失效与 Surge Mac 维护更新订阅制的说明 Surge Mac 在 2025 年 10 月 5 日的一次更新中，加入了一项便捷功能，允许用户直接测试代理的带宽。由于当时该功能还处于初级阶段，我们直接 hardcode 了 Cloudflare 的测试地址作为测试节点。 2026 年 2 月开始，由于 Cloudflare 测试 URL 不再允许外部访问，导致 Surge 的带宽测试功能突然失效。为此我们发布了新的 Surge Mac 版本，更换了测试地址并完善了相关逻辑，加入了更全面的测试设置，同时也允许用户自定义测试地址，以彻底避免类似问题再次发生。 由于 Surge Mac 采用维护更新订阅制，如果用户的维护期正好在 1 月底前结束，将无法获取到新版本，从而面临功能突然失效的困扰。我们对受此影响的用户表示诚挚的歉意，也完全理解大家因此产生的愤怒与不满。 关于维护更新订阅制 我们想借此机会解释一下，Surge Mac 版本使用的是“维护更新订阅制”。在 Mac 生态中，这并非 Surge 首创，而是目前很常见的一种授权模式（如 DEVONthink、Sketch、TablePlus 等知名软件均采用此模式）。 我们认为在这种订阅模式下，能较好地平衡开发者与用户的需求。所有软件都需要持续维护，无论是适配新版 macOS 系统，还是跟进外部服务依赖的变化，都需要开发者投入精力，才能保证各项功能的长期正常运转，这正是维护更新订阅的核心意义。同时，用户也可以根据自己的实际需求决定是否续费。 此次测速功能失效，属于该模式下可能遇到的一种极端情况。通常情况下，收到 Bug 报告后我们都会尽快在更新中修复；如果是严重 Bug，我们也会主动调整版本的解锁期，以确保不影响旧版用户的使用。 解决方案与致歉 由于 iOS App Store 的机制限制，Surge iOS 采用的是“功能解锁订阅制”，并承诺所有已解锁功能终身维护。部分双端用户可能并不完全了解两者的区别，误以为 Mac 版本也与 iOS 版本一样享有单一功能的终身维护。 在近期的客服沟通中，我们的工作人员过多地着重于向用户解释“功能订阅”与“维护订阅”的区别，而未能充分照顾到用户面对功能突然失效时的焦躁感受与实际情况，从而引发了更多不满，对此我们深表歉意。 为了妥善解决该问题，我们现已将当前的 Surge Mac 正式版本（6.4.4）的解锁时间调整为 2025 年 10 月 5 日，以保证所有受到该问题影响的用户都可以直接获取更新。 同时，我们也会吸取此次教训，在未来的开发中尽量降低对外部单点服务的依赖，并提供更多可自定义的参数，避免重蹈覆辙。 感谢大家一直以来的理解与支持。