收藏操作本身不依赖系统权限
在主流VPN客户端中，将节点标记为“收藏”或“置顶”仅修改应用本地的用户配置数据库。这一过程完全由应用程序在用户态内存和磁盘文件中完成，不涉及修改操作系统内核、网络驱动或全局路由表。因此，无需管理员权限即可保存、删除或调整节点顺序。收藏状态仅影响客户端界面的展示逻辑，不会改变网络栈对出站流量的处理机制。
连接建立依赖协议栈与系统接口
收藏后的节点若要建立实际连接，则需调用底层网络功能。以OpenVPN为例，若使用用户态隧道（如OpenVPN TAP设备或Windows TUN驱动），在Windows系统上可能需要管理员权限来安装虚拟网络适配器或在macOS上配置网络偏好。但若使用WireGuard协议，Linux内核模块或Windows WSL驱动通常在安装阶段一次性获得必要权限，后续连接仅需调用系统Socket API发送UDP包。此处权限关联在于“建立隧道接口”，而非“收藏数据”。
配置作用域隔离防止越权
区分收藏与连接的关键在于配置作用域。收藏数据通常存储在用户主目录下的应用配置文件夹（如~/.config/vpn-client/favorites.json），其读写权限仅限当前登录用户。而系统级网络配置（如防火墙规则、路由表项）位于全局系统路径，修改需root或admin身份。这种隔离设计确保普通用户无法通过收藏节点间接修改系统全局网络策略。若客户端声称“收藏后自动绕过系统防火墙”，白熊这通常意味着该应用拥有过高权限或存在设计缺陷，而非标准行为。
收藏节点仅修改本地配置，与底层系统权限驱动相互独立。
验证权限边界的只读方法
可执行以下只读检查确认边界：在拥有普通用户账号的系统中，使用文本编辑器直接打开客户端配置目录，确认收藏文件存在且可读。随后观察该文件是否包含任何指向系统服务或注册表路径的引用。正常客户端的收藏文件应仅包含节点IP、白熊VPN后台运行检查协议类型、用户ID等元数据。若发现文件试图写入系统受保护目录或调用未签名驱动，需查阅该软件官方文档中关于“运行权限”的章节，以确认其设计意图及潜在安全风险。
