fix(waf): exclude internal IPs from automatic IP groups

docs/changelog/index.md

@@ -15,6 +15,12 @@ sidebar: false
 >3.5.1 版本解耦了日志存储，ClickHouse 变为可选项，如果想切换数据库, 点击 「任务管理」 -> 「切换日志数据库」任务，按提示迁移数据并切换主库。
 >
 
+## [Unreleased]
+
+### 🛠 修复
+
+- 修复 IP 组按规则自动抓取时会收录内网、回环及链路本地等地址的问题；规则测试同步过滤这些地址，历史抓取结果会在下次同步时清理。
+
 ## [v3.5.8] - 2026-10-08
 
 ### ✨ 新功能

docs/guide/waf-ip-group-expr.md

@@ -32,11 +32,13 @@
 自动 IP 组先按单个客户端 IP 聚合指标，再对每个 IP 执行规则表达式：
 
 1. Server 读取最近 `lookback` 时长内的请求日志。
-2. 按 `remote_addr` 归一化后的 IP 分组。
+2. 按 `remote_addr` 归一化后的 IP 分组，跳过 IPv4 私网、IPv6 唯一本地地址（ULA）、回环、链路本地、未指定、组播及广播地址；IPv4 映射 IPv6 地址按对应的 IPv4 地址判断。
 3. 为每个 IP 计算请求数、404 数、直连 IP Host 次数等指标。
 4. 逐个 IP 执行 `rules[].expr`。
 5. 只要某个 IP 命中任意规则，就写入该自动 IP 组的 `IP / IP 段` 列表。
 
+**测试规则**与实际自动抓取使用相同的地址过滤逻辑。自动 IP 组下次同步时，也会清理历史抓取结果中的上述地址，不受存活时间（TTL）限制。手动 IP 组和订阅 IP 组不受此过滤影响。
+
 Host 是否为“通过 IP 访问”按请求日志中的 `Host` 字段判断：如果 Host 是 IPv4 或 IPv6 字面量，例如 `203.0.113.10`、`[2001:db8::10]`、`203.0.113.10:443`，就计入 `ip_host_count`。
 
 ## 可用关键字