优化 Shadowrocket 主配置安全性与分流逻辑

1:启用 Cloudflare / Google / 阿里 DoH，提升 DNS 加密与隐私
2:新增 GEOIP,CN,DIRECT + FINAL,Proxy 分流逻辑，实现国内外智能分流

docs/03.shadowsocks_tiny.conf

@@ -1,19 +1,28 @@
 [General]
 bypass-system = true
+# 保留本地网段跳过代理
 skip-proxy = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12, localhost, *.local, captive.apple.com
 tun-excluded-routes = 10.0.0.0/8, 100.64.0.0/10, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.0.0/24, 192.0.2.0/24, 192.88.99.0/24, 192.168.0.0/16, 198.51.100.0/24, 203.0.113.0/24, 224.0.0.0/4, 255.255.255.255/32, 239.255.255.250/32
-dns-server = system
+
+# 安全起见：使用加密 DNS（DoH），替换为你信任的服务；若坚持用 system，可保留 system
+dns-server = https://cloudflare-dns.com/dns-query, https://dns.google/dns-query, https://dns.alidns.com/dns-query
+
+# IPv6 保持禁用（除非你确实需要并已准备好 IPv6 规则）
 ipv6 = false
 prefer-ipv6 = false
+
+# DNS 回退策略：避免在本地 DNS 失败时把查询通过代理走出
 dns-fallback-system = false
 dns-direct-system = false
+dns-direct-fallback-proxy = false
 icmp-auto-reply = true
 always-reject-url-rewrite = false
 private-ip-answer = true
-dns-direct-fallback-proxy = true
 
 [Rule]
-FINAL,DIRECT
+# 启用 GeoIP 国别直连
+GEOIP,CN,DIRECT
+FINAL,PROXY
 
 [MITM]
 enable = false