记录 Clash 订阅 401 时，目的是留下足够判断「未认证」的线索，同时不把访问凭据写进可转发的文本。MDN 将 401 解释为：语义上是 unauthenticated，客户端必须认证才能得到所请求的响应。有用的是状态码、类别和易混码，而不是完整 URL 里的密钥。非标准状态码可能来自服务器自定义，未在 RFC 9110 列表中时也要原样记下数字，不要改写成 401。
适用条件
适用于已经拿到 HTTP 响应、状态码为 401，需要保存排查记录或向提供者说明的情况。没有状态码的连接失败不要记成 401。准备把记录发给他人时，必须先脱敏。
应记录什么、如何脱敏
- 记录三位状态码 401，并注明属于 4xx 客户端错误。这能证明请求已完成且服务器要求认证。
- 记录是否曾出现邻近码，便于排除误判：403（身份已知但拒绝给出资源）、407（代理认证）、511（网络准入认证）、404（找不到资源）、410（永久删除）、429（请求过多）、400（请求本身有客户端错误）。
- URL 只保留结构。去掉用户名、密码、令牌、长随机查询值，改成「有查询参数 / 有用户信息 / 路径层级」这类描述。判断依据：别人无法用这份记录重放认证，但仍能看出请求是否可能丢了凭据。
- 记录最终响应码。若中间有 301、302、307、308，注明重定向后再出现的是不是 401，避免把跳转过程写成订阅正文的结果。
- 不要把响应正文里可能出现的密钥、Cookie 或账号抄进记录。需要对比成功样例时，只写成功侧是 200 一类 2xx，不要附带正文。
失败时下一步
若记录里只有「更新失败」没有数字，补做一次能显示状态码的请求后再写。若数字不是 401 却被写成 401，按真实码重新分类，否则后续会去核并不存在的凭据问题。脱敏后无法判断路径是否一致时，自行保留一份仅本机可见的完整 URL，对外仍使用脱敏版。出现未列出的状态码，按非标准响应记录原始数字，并同时记下它仍是完成态 HTTP 响应，而不是连接失败。
资料来源： https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Status