补上真正日常要点的那个动作：切换策略组当前选中谁

之前的面板只做了「这个入站指向哪个出站」，那是改配置文件。但 metacubexd 里点一条线路
改的根本不是入站，是策略组的当前选中——调 PUT /proxies/{组}，不写文件、立刻生效。
mixed-port 走规则表，末尾 MATCH,PROXY 把流量交给 PROXY 组，所以换那个组的选中就等于
换了这个端口的出口。这是每天都要点的动作，之前整个漏了。

面板顶部现在显示完整链条（PROXY → AUTO → 某条线路），并让人在最后一个策略组上换选中。
只显示第一层等于没回答「这个端口现在走哪条线」。

透传的白名单里为此开了唯一一个写操作，单独一条路由而不是放开整个转发。

shared/inbounds.ts

@@ -138,6 +138,37 @@ export function collectInbounds(data: ConfigObject): Inbound[] {
   return result
 }
 
+/**
+ * 走规则表的流量最后交给谁。
+ *
+ * `MATCH` 匹配一切，所以第一条 MATCH 之后的规则都到不了，它就是兜底出站。
+ * 没有 MATCH 时内核会直连，返回 null。
+ */
+export function fallbackTarget(data: ConfigObject): string | null {
+  const rules = Array.isArray(data.rules) ? data.rules : []
+  for (const rule of rules) {
+    if (typeof rule !== 'string') continue
+    const parts = rule.split(',').map((p) => p.trim())
+    if (parts[0]?.toUpperCase() === 'MATCH' && parts[1]) return parts[1]
+  }
+  return null
+}
+
+/**
+ * 这一路入站的流量最终交给哪个出站。
+ *
+ * 和 `inbound.outbound` 的区别在于「跟着规则走」会被继续解析下去：那种情况下真正决定
+ * 去向的是规则表末尾的 MATCH。界面上要显示的是这个结果——用户想知道的是流量去哪，
+ * 不是配置里那个字段写没写。
+ */
+export function resolveDestination(data: ConfigObject, inbound: Inbound): string | null {
+  const mode = inbound.outbound
+  if (mode.kind === 'direct') return 'DIRECT'
+  if (mode.kind === 'global') return 'GLOBAL'
+  if (mode.kind === 'named') return mode.name
+  return fallbackTarget(data)
+}
+
 /**
  * 所有可以被入站的出站字段引用的名字。
  *