咨询NetGuard中ServiceSinkhole实现网络访问拦截的代码位置

嘿，我正好研究过NetGuard的实现，来给你拆解下核心的拦截逻辑对应的代码位置：

• 流量拦截的入口：ServiceSinkhole.run()方法
  这个方法是整个流量处理的主循环，NetGuard在这里初始化TUN设备后，会持续读取从系统路由过来的数据包。你能看到类似while (running)的循环逻辑，每一次循环都会读取TUN设备中的数据包，这就是拦截流程的起点。

• 包过滤决策核心：Packet.process()方法
  当从TUN设备读取到数据包后，会交给Packet类的process()方法处理。这里面会完成关键的权限校验：根据用户设置的防火墙规则（允许/禁止应用联网），判断当前数据包对应的应用是否有权限访问网络。如果判定为拦截，就会触发后续的丢弃逻辑。

• 拦截动作的执行：丢弃不允许的数据包
  在ServiceSinkhole的处理流程中，当Packet.process()返回不允许通过的结果时，代码不会执行将数据包转发到真实网络接口的操作（也就是跳过network.write(packet.buffer, packet.length)这类转发代码），直接丢弃该数据包，从而实现网络访问拦截。

另外补充下，NetGuard能拦截流量的基础是在ServiceSinkhole中完成了VpnService的初始化，通过establish()方法创建TUN设备并将系统流量导向该设备，这是所有拦截逻辑的前提。

内容的提问来源于stack exchange，提问作者pandalai