[BUG] 一加13（Android 17）：应用分身（双开）应用在规则模式下无法联网，主空间正常

[allenyelger-hash]

问题描述

在一加 13（Android 17）上，开启 Clash Meta for Android 的 VPN 并处于规则模式（国内域名/IP 理应直连）时，所有通过系统「应用分身」创建的应用实例均无法联网；主空间的同一应用联网完全正常。

复现步骤

1. 系统设置 → 应用分身，为任一国内应用开启分身
2. 启动 Clash Meta for Android，选择配置，模式设为「规则」
3. 启动 VPN 连接
4. 打开分身应用 → 完全无法联网；同一应用的主空间实例联网正常

设备信息

• 机型：OnePlus 13（一加 13）
• 系统类型：ColorOS（具体版本号待补充）
• Android 版本：17

应用信息

• 版本：v2.11.37
• 安装包文件名：待补充
• 应用来源：GitHub Releases

配置文件

【待补充】如需要我会上传脱敏后的配置（去除服务器/节点信息）。

日志

【待补充】可提供 app 内 Logcat 或 adb logcat 输出。

附加信息

• 规则模式下主空间国内应用直连正常，仅分身应用全部断网
• 系统 VPN 设置中「始终开启的 VPN / 阻止不带 VPN 的连接」状态暂不确定，之后补充
• 猜测（不一定准确）：分身应用运行在独立的 clone user 下，VpnService 可能未覆盖该 user 的流量。相关讨论：访问控制应用包列表如何添加双开应用 #803（访问控制列表同样看不到双开应用），怀疑 CMFA 对分身/clone user 支持存在同类问题
• 想请教：CMFA 是否支持覆盖分身空间流量？如有 workaround 恳请告知

[allenyelger-hash]

补充信息（关联上游已知问题）：

翻了下仓库最近的 PR，发现 #788（2026-06-28 合并）与本帖问题直接相关，维护者在描述中写道：

Android 17 blocks cross profile loopback network traffic by default. VPN in secondary profiles can no longer simply route everything to the listening port of CMFA in the primary profile.

即 Android 17 默认阻止跨 profile 的 loopback 网络流量。该 PR 为 CMFA 的 AndroidManifest 添加了 INTERACT_ACROSS_USERS 权限声明（v2.11.33 起包含，需通过 ADB 手动授予才生效）。

该 PR 引用了 VentralDigital/InterProfileSharing#34，其中要点：

• Android 17（targetSdk 37）的 BPF 层仅放行：同一 profile 内的通信，或同一应用跨 profile（需持有 INTERACT_ACROSS_USERS）的 loopback 通信
• ADB 手动授权示例：adb shell pm grant --user 0 com.github.metacubex.clash.meta android.permission.INTERACT_ACROSS_USERS
• 但仅覆盖「同一应用跨 profile」的场景；本帖这种分身应用（不同应用）跨 profile 访问 CMFA 的情况大概率仍被内核拦截

结合本帖症状（所有分身应用断网、主空间正常、Android 17），怀疑分身空间的流量同样受这一限制影响。想请教维护者：CMFA 是否有计划支持分身/clone user 场景？在限制放开前是否存在可行的 workaround？