服务：nix收敛代理配置

一句话结论

依你 2026-10-11 的定案：proxy.nix 只解决 system 面（环境变量 / mihomo 国内直连清单 / 给非 nix 脚本的 env 文件），不再把各应用的代理往 proxy.nix 里塞；各应用在自己模块里接线，值统一从 config.networking.proxy.* 取。已于 2026-10-11 实施完成并验收，三处改动见下。

职责划分（你定案 2026-10-11）

★ 一个必须记住的坑：rootless 的落点是子选项

本机跑的是 rootless docker，而 nixpkgs 里 rootless 的错误/正确落点差别如下：

✗ virtualisation.docker.daemon.settings              ← 只喂给【rootful】单元（本机不生效，实测 daemon.json 仍是 { }）
✓ virtualisation.docker.rootless.daemon.settings     ← 本机真正生效的那一个（docker-rootless.nix 里独立的推出项）

验证方法（酸试）：看单元实际引用的那个文件里有没有 proxies。实施后实测输出：

单元引用: /nix/store/pv52fmdali9m8w8apxd38v90a3dymizk-daemon.json
{ "proxies": { "http-proxy": "http://127.0.0.1:7890",
               "https-proxy": "http://127.0.0.1:7890",
               "no-proxy": "<103 条国内直连清单>" } }

落地方案（已实施）

① docker.nix（modules/system/service/docker.nix）—— 两段都写上（rootful 那份留作备用，同一个值源）：

virtualisation.docker.daemon.settings =                 # 只对 rootful 生效，留着备用
  lib.mkIf (config.networking.proxy.default != null) {
    proxies = {
      http-proxy  = config.networking.proxy.default;
      https-proxy = config.networking.proxy.default;
      no-proxy    = config.networking.proxy.noProxy;
    };
  };

virtualisation.docker.rootless.daemon.settings =        # ★ 本机生效的就是这一段
  lib.mkIf (config.networking.proxy.default != null) {
    proxies = {
      http-proxy  = config.networking.proxy.default;
      https-proxy = config.networking.proxy.default;
      no-proxy    = config.networking.proxy.noProxy;
    };
  };

⚠ 为什么要 mkIf (… != null)：nixpkgs 的 networking.proxy.default 默认就是 null（没引 proxy.nix 时），不加守卫会把 null 写进 daemon.json。这是“引用数据源 + 不造假值”的最小写法，不是防御式编程。

② proxy.nix 补一份给非 nix 脚本 source 的文件（声明式，不用 tmpfiles）：

environment.etc."proxy/env.sh".text = ''
  export http_proxy=${proxyDefault}
  export https_proxy=${proxyDefault}
  export no_proxy=${config.networking.proxy.noProxy}
  export all_proxy=${proxyDefault}
'';

③ git.nix 两行改为引用数据源（去掉硬编码）：

http.proxy  = config.networking.proxy.default;
https.proxy = config.networking.proxy.default;

不做的事：不加任何“重启服务”的 hook；不改 Chrome 那份自带清单；不新增自定义 options；不把 docker 的接线搬进 proxy.nix。

实施记录（2026-10-11）

本机代理链路现状（实测 2026-10-11）

证据（毒代理 http://127.0.0.1:9 与真代理对照）：curl 毒⇒000/真⇒204；uv 毒⇒Connection refused/真⇒正常；nix 用户侧 毒⇒Could not connect(7)/真⇒下载成功；nix-daemon 自身环境里就写着 127.0.0.1:7890；hermes 进程环境有代理 ✓ 且源码 hermes_cli/config_defaults.py:2212-2217 明确 “Let adapters read HTTP_PROXY/HTTPS_PROXY/NO_PROXY…”，web_routers/config_env.py:962 对本地端点 trust_env=False（刻意绕开代理，不是漏洞）。

代理本体 = 容器 clash，定义在 /s500data/docker/mihomo/docker-compose.yml（restart: always），对外服务 127.0.0.1:7890。

逐条裁决（针对“另一个 AI”的提案）

生效点表（真实版，替代“三级机制”）

代理故障 30 秒定位手册 ★

认址规则：本机代理唯一合法值 = http://127.0.0.1:7890；出现任何别的 IP（尤其 192.168.*）就是错的。

第①问  代理本体在吗：
          ss -lntp | grep 7890          # 没输出 ⇒ 起容器（命令见上一节）

第②问  报错里的地址是谁：
          proxyconnect tcp: dial tcp 192.168.1.100:7890: connection refused
          ⇒ 说明【那个消费者自己的代理值】被写错了，不是网络问题（2026-10-11 就是这案）

第③问  各消费者当前值（一条命令全查）：
          printf 'env=%s\ngit=%s\ndocker=%s\nkde=%s\n' \
            "${http_proxy:-未设}" \
            "$(git config --system --get http.proxy)" \
            "$(docker info 2>/dev/null | awk -F': ' '/HTTP Proxy/{print $2}')" \
            "$(grep -h ProxyType ~/.config/kioslaverc)"
          判读：env / git / docker 都应该是 127.0.0.1:7890；kde 的 ProxyType=4 = 用环境变量

第④问  修哪一处：
          system 面（环境变量）   → 只改 modules/system/service/proxy.nix 顶部一处 → rebuild
          docker 那条不对         → 改 modules/system/service/docker.nix 里【rootless.daemon.settings】→ rebuild → 再 restart docker.service
          git 那条不对            → 改 modules/system/service/git.nix → rebuild
          用户级残留遮盖           → 删掉 ~/.config/systemd/user/*docker* 里的单元文件（它会盖掉 nix 单元）
          环境变量没刷新           → 重开终端 / source /etc/set-environment

2026-10-11 真实案例：mariadb 容器起不来，报错正是第②条；根因 = 一个用户级 docker.service 单元（文件已不在，systemd 里残留加载定义）把 daemon 代理指向 192.168.1.100:7890（那是手机的地址），盖掉了 nix 侧正确单元；修法 = 清残留 + 重启 daemon；代价 = clash 断约 1 分钟。这次收敛之后，这类故障只需改对应模块一处 + rebuild。