关键模块：

| 模块 | 职责 |
|--------|---------------|
| `ioc2rpz.erl` | TCP/TLS DNS 工作进程 — 接受、解析、验证、响应 |
| `ioc2rpz_udp.erl` | UDP DNS 监听器 — SOA 查询 |
| `ioc2rpz_conn.erl` | IOC 源获取（HTTP/HTTPS/文件/Shell） |
| `ioc2rpz_db.erl` | 基于 ETS 的区域和包缓存 |
| `ioc2rpz_sup.erl` | 主监督者、配置加载、区域调度 |
| `ioc2rpz_rest.erl` | REST 管理 API（Cowboy） |
| `ioc2rpz_doh.erl` | DNS-over-HTTPS 处理器 |

## 如何使用 ioc2rpz™
你可以将 ioc2rpz™ 与任何支持响应策略区域（Response Policy Zones）的 DNS 服务器配合使用，例如较新版本的 ISC BIND、PowerDNS，以及任何基于这些产品的商业 DNS 服务器（例如 Infoblox、Blue Cat、Efficient IP）。cfg 文件夹中提供了一份示例 BIND 配置文件（named.conf）。
<p align="center"><a href="http://www.youtube.com/watch?feature=player_embedded&v=bvhyMFa_mBM" target="_blank"><img src="https://raw.githubusercontent.com/Homas/ioc2rpz/master/ioc2rpz_demo.png"></a></p>

## ioc2rpz™ Web 界面
[ioc2rpz.gui](https://github.com/Homas/ioc2rpz.gui) 是一个独立项目开发的 Web 管理界面。运行 ioc2rpz™ 并不需要它。

## 协议支持

ioc2rpz™ 监听多种传输协议。所有传输共享相同的查询处理流程：限速、TSIG 验证、区域查询和响应生成。完整的协议文档请参阅 [docs/protocols.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/protocols.md)。

### 端口摘要

| 端口 | 协议 | 服务 | 条件 |
|------|----------|---------|-----------|
| 53 | UDP | DNS 查询（仅 SOA） | 始终 |
| 53 | TCP | DNS 查询、AXFR/IXFR 区域传输、管理 | 始终 |
| 853 | TCP+TLS | DoT — 与 TCP 相同，但已加密 | 需要 `cert` 配置 |
| 443/8443 | TCP+TLS | DoH（`/dns-query`）和 REST API | 需要 `cert` 配置 |

### UDP（端口 53）

UDP 用于轻量级 DNS 查询，主要是 SOA 查找。响应超过 512 字节（或 EDNS0 通告的缓冲区大小）时，会按照 RFC 1035 §4.2.1 设置 TC（截断）位，提示客户端通过 TCP 重试。UDP 不支持管理命令。```bash
dig @127.0.0.1 zone.ioc2rpz SOA -y hmac-sha256:keyname:base64key

### DNS over TLS / DoT (端口 853)

ioc2rpz™ 支持通过 DoT 进行 RPZ 分发。当配置中存在 `cert` 记录时，TLS 监听器会自动在 853 端口启动。DoT 支持与 TCP 相同的操作（AXFR、IXFR、SOA、管理）。

- 支持的 TLS 版本：1.2 和 1.3（`?TLSVersion = 'tlsv1.2-1.3'`）
- 支持连接复用（依据 RFC 7858 §3.4，每个 TLS 会话可执行多个查询，空闲超时 30 秒）
- 不支持 TLS PIN
- DNS NOTIFY 消息以未加密方式发送（纯 UDP）
- 当磁盘上的文件被替换时，证书会自动刷新（由于 Erlang SSL 缓存，最多约 2 分钟延迟）

有关证书设置，请参阅 [证书设置](#certificate-setup)。```bash
# SOA query over DoT
kdig @127.0.0.1 -p 853 zone.ioc2rpz SOA +tls -y hmac-sha256:keyname:base64key

# AXFR over DoT
dig @127.0.0.1 -p 853 zone.ioc2rpz AXFR +tls +tcp -y hmac-sha256:keyname:base64key

### 速率限制

DNS 查询使用智能（混合）键进行速率限制，这样合法的多区域客户端不会受到惩罚，同时可阻止通过改变查询名称进行的滥用：

- **已配置区域 + 支持的 QTYPE**（`SOA`/`AXFR`/`IXFR`，类别 `IN`）和**可识别的管理命令**（类别 `CHAOS`/`TXT`）按 `{client_IP, query_name, query_type}` 进行跟踪——因此，从同一 IP 轮询/传输多个区域（例如 `rpz1`、`rpz2`、`rpz3`）并执行管理操作的辅助服务器，会按区域+类型独立计数。
- **其他所有情况**（未知/未配置的区域、不支持的查询类型、错误的类别或无法识别的管理名称）按 `{client_IP}` 聚合，因此攻击者无法通过改变查询名称来绕过限制。

当超过限制时，服务器返回 DNS `REFUSED` 响应。

| 参数 | 默认值 | 宏 |
|-----------|---------|-------|
| 窗口 | 10 秒 | `?RATE_LIMIT_WINDOW`（10000 ms） |
| 每窗口最大请求数（细粒度：已知区域+类型 / 管理） | 1 | `?MAX_REQUESTS_PER_WINDOW` |
| 每窗口最大请求数（聚合：未知区域 / 不支持的查询类型） | 1 | `?MAX_UNKNOWN_REQUESTS_PER_WINDOW` |

速率限制适用于所有 DNS 查询传输（UDP、TCP、TLS、DoH）。窗口和阈值可通过 `include/ioc2rpz.hrl` 中的宏进行配置。

### DNS NOTIFY

区域更新（AXFR 或 IXFR）后，ioc2rpz™ 通过 UDP 向 RPZ `NotifyList` 中配置的 IP 地址发送 DNS NOTIFY 消息（[RFC 1996](https://tools.ietf.org/html/rfc1996)）。这会提示辅助 DNS 服务器检查区域 SOA 序列号，如果序列号已更改，则启动传输。```erlang
%% NotifyList in RPZ config — last field before whitelists
{rpz, {"zone.ioc2rpz", ..., ["source1"], ["10.0.0.1", "10.0.0.2"], []}}.

where /home/ioc2rpz/cfg, /home/ioc2rpz/db directories on a host system.  
You can pass a custom configuration file name via``-e`` parameter. E.g. ``-e CONF=./cfg/ioc2rpz2.conf``

## Environment Variables

The following environment variables are used by ioc2rpz™, primarily relevant for Docker deployments. They are defined in `config/sys.config.src` and `config/vm.args`.

| Variable | Default | Description |
|----------|---------|-------------|
| `IPv4` | — | IPv4 bind address |
| `IPv6` | — | IPv6 bind address |
| `CONF` | — | Path to configuration file (e.g. `./cfg/ioc2rpz.conf`) |
| `DB` | `/opt/ioc2rpz/db` | Database directory for ETS persistence |
| `CD` | `/opt/ioc2rpz` | Working directory |
| `NODE_NAME` | `ioc2rpz` | Erlang node short name |
| `IO2Cookie` | `ioc2rpz` | Erlang distributed cookie |

Pass environment variables to Docker with `-e`:
</translation>其中 /home/ioc2rpz/cfg、/home/ioc2rpz/db 目录位于宿主机系统上。  
您可以通过``-e``参数传递自定义配置文件名称。例如：``-e CONF=./cfg/ioc2rpz2.conf``

## 环境变量

以下环境变量由 ioc2rpz™ 使用，主要与 Docker 部署相关。它们定义在 `config/sys.config.src` 和 `config/vm.args` 中。

| Variable | Default | Description |
|----------|---------|-------------|
| `IPv4` | — | IPv4 绑定地址 |
| `IPv6` | — | IPv6 绑定地址 |
| `CONF` | — | 配置文件路径（例如 `./cfg/ioc2rpz.conf`） |
| `DB` | `/opt/ioc2rpz/db` | 用于 ETS 持久化的数据库目录 |
| `CD` | `/opt/ioc2rpz` | 工作目录 |
| `NODE_NAME` | `ioc2rpz` | Erlang 节点短名称 |
| `IO2Cookie` | `ioc2rpz` | Erlang 分布式 cookie |

使用 `-e` 将环境变量传递给 Docker：```bash
docker run -d --name ioc2rpz -e CONF=./cfg/custom.conf -e NODE_NAME=mynode ...

更新你的 `ioc2rpz.conf` 以引用挂载的证书路径：```erlang
{cert, {"ssl/live/ns1.rpz-proxy.com/fullchain.pem", "ssl/live/ns1.rpz-proxy.com/privkey.pem", ""}}.

### Let's Encrypt (生产环境)```bash
# Obtain certificate
sudo certbot certonly --standalone -d ns1.rpz-proxy.com

# Copy to ioc2rpz cfg directory
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/fullchain.pem cfg/ioc2rpz_dot.crt
cp /etc/letsencrypt/live/ns1.rpz-proxy.com/privkey.pem cfg/ioc2rpz_dot.key

证书也会在配置重载（`ioc2rpz-reload-cfg`）期间被显式重新加载：当 ioc2rpz 检测到证书文件发生变化时，它会立即使用新证书重启 TLS 监听器，而不是等待约 2 分钟的 Erlang SSL 缓存。在续期钩子中添加一个 `ioc2rpz-reload-cfg` 步骤，即可在无需停机的情况下应用新证书。

### Docker 卷挂载

在 Docker 中运行时，请从宿主机挂载证书目录：```bash
docker run -d --name ioc2rpz \
  --mount type=bind,source=/etc/letsencrypt/live/ns1.rpz-proxy.com,target=/opt/ioc2rpz/ssl,readonly \
  ...

Erlang 会在约 2 分钟内自动拾取替换后的证书文件。在配置重载（`ioc2rpz-reload-cfg`）期间，证书也会被显式重新加载。切勿让证书过期——请在到期前续期，以确保服务不中断。

## 从源码构建

> **注意：** 从源码构建适用于**开发和测试**。对于生产环境，**Docker 是推荐的部署方式**——参见 [Docker Compose](#docker-compose) 与 [ioc2rpz.dc](https://github.com/Homas/ioc2rpz.dc) 仓库。

### 前置要求

- **Erlang/OTP 24 或更新版本**（用 `erl -version` 检查）以及与之匹配的 [rebar3](https://www.rebar3.org)。
- C 工具链（用于构建依赖项）和 `git`。

### 构建与运行```bash
# 1. Clone the repository
git clone https://github.com/Homas/ioc2rpz.git
cd ioc2rpz

# 2. Build a release
rebar3 release

# 3. Edit the configuration (see the minimal example below)
$EDITOR cfg/ioc2rpz.conf

# 4. Start the server (foreground console, or 'start' for background)
_build/default/rel/ioc2rpz/bin/ioc2rpz console
# or: _build/default/rel/ioc2rpz/bin/ioc2rpz start

有关权威的逐字段参考（source/RPZ 元组布局、SOA 计时器、密钥组、证书等），请参阅 [docs/configuration.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/configuration.md)。要启用 DoT（端口 853）、DoH 和 HTTPS REST API，请添加 `{cert,{...}}` 条目 — 参见 [证书设置](#certificate-setup)。

### 开发 Shell（仅限开发/测试）

以下命令仅供本地开发和测试使用 — 不可用于生产环境：```bash
# Compile only (no release)
rebar3 compile

# Run the EUnit test suite
rebar3 eunit
# Run tests for a single module
rebar3 eunit --module=ioc2rpz_fun

# Start an interactive shell with the application and all deps loaded
rebar3 shell

## ioc2rpz™ 管理
### 通过 DNS
ioc2rpz™ 支持通过 DNS/TCP 或 DoT 进行管理。建议使用 DoT 或基于 DNS/TCP 的 REST API。当前版本的 ioc2rpz™ 不支持独立的管理 IP/接口。无论如何，强烈建议创建一个专用的 TSIG 密钥（或多个密钥），仅用于管理。您可以关闭通过 DNS 的管理。  
支持的操作：
- ioc2rpz™ 当前状态。请求 ``ioc2rpz-status``，类别 ``CHAOS``，记录 ``TXT``。例如：```
dig +tcp -y dnsmkey_1:ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA== @127.0.0.1 ioc2rpz-status TXT -c CHAOS

- 停止 ioc2rpz™。RR Name ``ioc2rpz-terminate``，RR Class ``CHAOS``，RR Type ``TXT``
- 请求一个示例区域。RR Name ``sample-zone.ioc2rpz``，RR Class ``IN``，RR Type ``AXFR``
### 通过 REST
REST API（端口 8443/tcp）是首选的管理接口。出于安全原因，所有管理流量都必须加密，如果没有 SSL 证书，REST API 将不会启动。所有端点都接受 GET 和 POST 方法。

使用 HTTP Basic 认证来验证请求。管理 TSIG 密钥用于请求认证。TSIG 密钥名称用作 HTTP 用户名，TSIG 密钥用作密码。对 REST API 的访问由 `srv` 记录中定义的 ACL 限制。

API 版本段支持 `v1` 和 `v1.0`（例如，`/api/v1/stats/serv` 或 `/api/v1.0/stats/serv`）。

REST API 根据 `Accept` 头支持 JSON（默认）和纯文本输出：
- `application/json` — JSON 输出（默认）
- `text/plain` — 纯文本输出```bash
# Example: plain text output
curl -u "keyname:base64key==" -k -H "Accept: text/plain" https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

#### 路径参数

| 参数 | 描述 |
|-----------|-------------|
| `:rpz_name` | RPZ 区域名称（例如 `dga.ioc2rpz`） |
| `:source_name` | IOC 源名称（例如 `sample_fqdn`） |
| `:ioc` | 要查询的指标（FQDN 或 IP，例如 `baddomain.com`） |

#### 统计端点

`/api/v1/stats/serv` — 服务器统计信息（节点名称、规则总数、内存使用情况）```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/stats/serv

{
  "srv": {
    "node_name": "ioc2rpz@hostname",
    "srv_total_rules": 15000,
    "hot_cache_mem": "12.5 Mb",
    "axfr_table_mem": "45.2 Mb",
    "ixfr_table_mem": "8.1 Mb"
  },
  "rpz": [...],
  "sources": [...]
}

```json
{
  "rpz": [
    {
      "name": "malware.ioc2rpz",
      "status": "ready",
      "rule_count": 5000,
      "ioc_count": 4500,
      "serial": 1709000000,
      "serial_ixfr": 1708990000,
      "update_time": 1709000000,
      "ixfr_update_time": 1708995000,
      "ixfr_nz_update_time": 1708995000
    }
  ]
}

```json
{
  "sources": [
    {"name": "sample_fqdn", "ioc_count": 150}
  ]
}

成功：`{"status":"ok","msg":"Configuration reloaded"}`
错误（HTTP 520）：`{"status":"error","msg":"Configuration reload error"}`

`/api/v1/mgmt/update_tkeys` — 从配置重新加载 TSIG 密钥```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/mgmt/update_tkeys

成功：`{"status":"ok","msg":"Terminating"}`

#### 区域更新端点

`/api/v1/update/all_rpz` — 强制完全刷新所有 RPZ 区域```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/update/all_rpz

成功： `{"status":"ok","msg":"RPZ dga.ioc2rpz will be updated"}`
错误（HTTP 520）： `{"status":"error","msg":"RPZ dga.ioc2rpz not found"}`

#### 缓存管理端点

`/api/v1/cache/sources/clear/all` — 从热缓存中移除所有源```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/clear/all

Success: `{"status":"ok","msg":"sample_fqdn source was removed from the hot cache"}`

`/api/v1/cache/sources/load/all` — 将所有源重新加载到热缓存中```bash
curl -u "keyname:base64key==" -k https://127.0.0.1:8443/api/v1/cache/sources/load/all

成功：```json
{
  "status": "ok",
  "rpz": "malware.ioc2rpz",
  "iocs": ["baddomain.com", "evil.example.org"]
}

Success:```json
{
  "ioc": "baddomain.com",
  "tkey": "dnsproxykey_1",
  "data": [
    {
      "ioc": "baddomain.com",
      "feeds": [
        {
          "feed": "malware.ioc2rpz",
          "wildcard": "true",
          "type": "fqdn",
          "rpz_serial": 1709000000,
          "ioc_expiration": 0,
          "sources": ["abuse-ch", "internal-list"]
        }
      ]
    }
  ]
}

## 监控与健康检查

### REST API 统计```bash
# Server statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/serv

# RPZ zone statistics (indicator counts, serials, update times)
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/rpz

# Source statistics
curl -u "keyname:key==" -k https://127.0.0.1:8443/api/v1/stats/source

### DNS 健康检查```bash
# SOA query over UDP
dig @localhost -p 53 your-zone.rpz SOA +short

# Zone transfer over TCP
dig @localhost -p 53 your-zone.rpz AXFR +tcp -y hmac-sha256:keyname:base64key

# DoT query
dig @localhost -p 853 +tls your-zone.rpz SOA

# Sample zone (built-in test zone)
dig @localhost sample-zone.ioc2rpz AXFR +tcp

4 字段形式仍然有效，并且默认将 `TrackSources` 设为 `off`。
### **cert** 记录
**cert** 记录用于定义 DNS over TLS、REST API 和 DoH 通信的证书和私钥。有关证书的生成和管理，请参阅 [证书设置](#certificate-setup)。

它由以下部分组成：
- 证书文件的路径；
- 包含 PEM 编码私钥的文件的路径；
- 包含 PEM 编码 CA 证书的文件的路径。  

示例 **cert** 记录：```
{cert,{"cfg/cert.pem", "cfg/key.pem",	"cfg/cacerts.pem"}}.

### **key** 记录
TSIG 密钥用于认证和授权。建议为 ioc2rpz™ 管理和区域传输使用不同的 TSIG 密钥。  
**key** 记录由以下部分组成：
- TSIG 密钥名称;
- 算法。支持 ``md5``、``sha256`` 和 ``sha512``;
- 密钥;
- （可选）它所属的密钥组列表。

**key** 记录示例：```
{key,{"key_name_1","md5","ayVnL+h2QKMszRVohrngagcEuIpN3RkecXKdwSa5WsHD5N4Y5R3NUMGM W8sIGv36gPkAtWtgarqKzN9tmHqEnA=="}}.
{key,{"key_name_2","sha256","5Yvt70eJnf95+LJeI8H3TgKGeVparmMB7udA0pv/JRE="}}.
{key,{"key_name_3","sha512","03uuaGl9kqfenjRgIeCv6e29lVvMwviB1+cDX1I0jcVOcTU4jWFwRkfo3ULRMD+NGDfwzYvXkJ94FNEaAW4vzw==",["customers","public"]}}.

请参阅 `dnssec-keygen` 文档以了解详情。密钥可以分配给组，以便在 RPZ 区域访问控制中实现基于组的授权。

### **key_group** 记录
密钥组为区域传输和管理提供基于组的授权。不必在 `rpz` 或 `srv` 记录中列出各个密钥，您可以将密钥分配给命名组并引用该组。

将密钥分配到组有两种方式：
1. 通过 `key` 记录的可选第 4 个字段以内联方式指定：`{key, {Name, Alg, Secret, [Groups]}}`
2. 通过 `key_group` 记录显式指定（如下所示）```erlang
{key_group, {GroupName, [KeyName1, KeyName2, ...]}}.

在 `rpz` 和 `srv` 记录中，组通过键列表中的 `{groups, ["group1", "group2"]}` 元组进行引用：```erlang
{rpz, {"zone.ioc2rpz", 7202, 3600, 2592000, 7200, "true", "true", "nxdomain",
       ["dnsproxykey_1", {groups, ["customers", "public"]}],
       "fqdn", 86400, 3600, ["source1"], [], []}}.

### **source** 记录
source 是恶意指示器的订阅源。支持 FQDN、IPv4 和 IPv6 地址。source 是一个文本文件或文本数据订阅源。指示器应以换行/回车字符（/n、/r 或 /r/n 两者）分隔。ioc2rpz™ 支持无限数量的指示器。  
**source** 记录由以下部分组成：
- source 名称；
- 用于全量源传输（AXFR）的 source 路径。支持 URL(http/https/ftp)、本地文件和脚本。前缀 **file:** 用于本地文件。前缀 **shell:** 用于在主机/容器上执行本地脚本/命令，该脚本/命令应将指示器及可选的过期日期返回至 STDOUT；
- 用于增量源传输（IXFR）的 source 路径。AXFR、IXFR 路径支持关键字以缩短 URL 并提供区域更新时间戳：
  - **[:AXFR:]** - 完整的 AXFR 路径。只能在 IXFR 路径中使用；
  - **[:FTimestamp:]** - source 上次更新的时间戳  (例如 1507946281)
  - **[:ToTimestamp:]** - 当前时间戳；
- 用于提取指示器及其过期时间的 REGEX。第一个匹配项为指示器，第二个匹配项为过期时间。过期时间是可选参数。正则表达式必须包含在双引号中。如果指定空 REGEX（`""`），将使用默认 REGEX（`"^([A-Za-z0-9][A-Za-z0-9\-\._]+)[^A-Za-z0-9\-\._]*.*$"`）。如果不需要 REGEX，则使用 `none`（该 source 已按要求格式提供数据）。
可选参数（必须全部使用或全部不使用）：
- UserID（内部使用）。
- 最大 IoC 数量。
- 全量 source 更新，热缓存时间（秒）。
- 增量 source 更新，热缓存时间（秒）。

HTTPS source 下载会验证远程服务器的 TLS 证书。证书无效或自签名的 source 将无法下载。对于自签名证书，请使用带 `curl --insecure` 的 `shell:` source。

**本地文件限制：** 出于安全原因，包含 `..`（父目录遍历）的 `file:` 路径将被拒绝；请使用不含 `..` 的路径（位于工作/数据目录内）。

**Shell 命令限制：** 每个管道段的可执行文件必须是绝对路径（例如 `/usr/bin/curl`）或裸名称的安全文本工具（`sort`、`uniq`、`grep`、`sed`、`awk`、`gawk` 等）；破坏性命令和 shell（`rm`、`bash`、`sh` 等）会被阻止，命令替换（`$(...)`、反引号）和输出重定向（`>`、`>>`）会被拒绝。被拒绝的命令不会执行，并通过 CEF 事件 151 记录（已执行命令通过 150 记录）。完整规则集请参阅 [docs/configuration.md](https://github.com/homas/ioc2rpz/blob/HEAD/docs/configuration.md#shell-command-restrictions)。

如果某个 source 返回的指示器数量低于其先前数量的 50%，则更新会被拒绝并保留之前的数据。这可以防止质量下降的订阅源降低 RPZ 覆盖率。可通过 `?SOURCE_MIN_IOC_RATIO` 宏进行配置。

示例 **source** 记录：```
%% Local file source — indicators without expiration
{source,{"sample_fqdn","file:cfg/sample_ioc_fqdn.txt","[:AXFR:]",none}}.

%% Local file source — indicators with expiration timestamps (tab-separated)
{source,{"sample_expire","file:cfg/sample_ioc_expire.txt","[:AXFR:]","^([A-Za-z0-9][A-Za-z0-9\-\._]+)\t([0-9TZ:\-]+)$"}}.

%% Shell source — fetch RPZ via AXFR and extract CNAMEs
{source,{"base.rpz1","shell:/usr/bin/dig -y KEYNAME:TSIGKEY @127.0.0.1 base.rpz.ioc2rpz.local axfr | /bin/grep -e CNAME | /bin/grep -v '*.' | /usr/bin/awk -F '.base.rpz' '{print $1}'","",none}}.

### IOC 来源归因

RPZ 订阅源通过合并来自多个来源的指标构建。来源归因让 IOC 查找 API 能够报告**订阅源内部的哪个（些）来源**提供了某条指标——这对于对报告误报进行分类处理很有用。跟踪**默认关闭**，并按订阅源通过可选的服务器级全局默认值进行控制。

**配置**

- 按订阅源：`{rpz,{...}}` 元组的可选尾部（第 16 个）`TrackSources` 元素——`auto | true | false`。
- 服务器全局默认值：`{srv,{...}}` 元组的可选尾部（第 5 个）`TrackSources` 元素——`off | auto | on`（默认 `off`）。

两者都是可选的且向后兼容：现有配置文件（15 字段的 `rpz`、4 字段的 `srv`）会原样加载并按关闭状态运行。

**解析优先级** —— 订阅源的有效状态按以下方式解析：
1. 订阅源的显式 `track_sources` 值（如果已设置）；
2. 否则使用服务器全局默认值；
3. 否则使用内置默认值 `off`。

`auto` 表示：仅跟踪**多来源**订阅源。单来源订阅源永远不会被遮蔽——其唯一来源名称会直接返回（无需跟踪开销）。

**API——新增的 `sources` 字段**

`/api/v1/ioc/:ioc` 响应在每个订阅源对象上新增了一个 `sources` 字段。它是**增量式且向后兼容的**：所有现有字段均保持不变，因此忽略该字段的旧客户端仍可正常工作。

- 已跟踪的多来源订阅源：包含贡献来源名称的 JSON 数组。
- 单来源订阅源：包含该唯一来源名称的单元素数组。
- 跟踪已禁用，或归属未知（例如升级前缓存的记录行在其一次性 AXFR 重建之前）：`null`（JSON）/ `(disabled)` 或 `(unavailable)`（TXT）。```json
{
  "feed": "mixed.ioc2rpz",
  "wildcard": "true",
  "type": "fqdn",
  "rpz_serial": 1709000000,
  "ioc_expiration": 0,
  "sources": ["abuse-ch", "internal-list"]
}