server_config: 新增 RRPP 订阅后端规则集下发文档（PAC → classical 规则集）

- 新增 §12：PAC 不能直接下发的原因、三个规则集产物、PAC 更新后的再生成流程、
  mihomo/Shadowrocket 两种客户端接入方式与验证口径
- 新增 rrpp-subscription/：API.md（订阅端点/method/rules 参数/规则集说明）
  与 gen_rulesets.py（PAC → 客户端规则集转换脚本，幂等、原子替换）
- method 新增 shadowrocket（.conf：远程 RULE-SET + FINAL，不猜测 REALITY 参数）
- method=clash 新增 &rules=provider|inline|global

server_config/README.md

@@ -22,6 +22,7 @@
 - [9. systemd 服务文件](#9-systemd-服务文件)
 - [10. 启动顺序与验证清单](#10-启动顺序与验证清单)
 - [11. 目录结构与文件索引](#11-目录结构与文件索引)
+- [12. RRPP 订阅后端（PAC → 规则集下发）](#12-rrpp-订阅后端pac--规则集下发)
 
 ---
 
@@ -564,8 +565,74 @@ server_config/
 │   └── sync-nginx-local-ips.sh      ← 本机公网 IP 规则自动维护
 ├── cron/
 │   └── sync-nginx-local-ips         ← cron 定义（每 5 分钟）
+├── rrpp-subscription/               ← RRPP 订阅后端（bj，见 §12）
+│   ├── API.md                       ← 订阅端点 / method / 分层 / 规则集文档
+│   └── gen_rulesets.py              ← PAC → 客户端规则集转换脚本
 └── fake-site/
     └── index.html                   ← 伪装站点页面（所有节点共用同一份）
 ```
 
 > 旧的 `traffic-monitor/`、`pac/`、`conf.d/*.conf` 已下线或迁移，不再维护，已从本目录移除。
+
+---
+
+## 12. RRPP 订阅后端（PAC → 规则集下发）
+
+订阅服务运行在 **bj**（`C:/BtSoft/nginx/others/backEnd/api-rrrosmontis-icu/RRPP/`，nssm 服务 `RRPPSubBackend`，监听 `127.0.0.1:5010`，由 nginx `api.rrrosmontis.icu` 反代）。
+完整端点说明见 `rrpp-subscription/API.md`（bj 上同名文件为主副本，两处内容保持一致）。
+
+### 12.1 PAC 为什么不能直接下发
+
+PAC 是浏览器/系统用的 JS 自动配置，**mihomo/Clash 与 Shadowrocket 都读不了**。两者唯一共同能吃的格式是
+「每行自带规则类型的规则行文本」（Clash 的 `behavior: classical`）：
+
+- mihomo → `rule-providers`（`behavior: classical` + `format: text`）
+- Shadowrocket → `RULE-SET,<url>,<策略>`（官方手册：规则集内容需包含规则类型）
+
+因此由后端 `gen_rulesets.py` 把 PAC 数据转成三个 `.list`，两种客户端共用同一份文件。
+
+### 12.2 规则集产物
+
+| 规则集 | 文件（`https://cdn.rrrosmontis.icu/RRPP/PAC/`） | 规则数 | 策略 |
+|---|---|---|---|
+| `rrpp-proxy` | `rrpp-proxy.list` | 3943（`DOMAIN` 539 + `DOMAIN-SUFFIX` 3404） | `RRPP` / `PROXY` |
+| `rrpp-direct` | `rrpp-direct.list` | 16（`DOMAIN-SUFFIX`） | `DIRECT` |
+| `rrpp-cn-ip` | `rrpp-cn-ip.list` | 7456（`IP-CIDR`） | `DIRECT` |
+
+顺序（与 PAC 语义一致）：强制代理 → 直连种子 → 中国 IP 直连 → `MATCH` 全代理。
+
+### 12.3 维护：PAC 更新后重新生成
+
+```bash
+# bj 上执行（Windows：C:/BtSoft/nginx/others/htmlResources/cdn/RRPP/PAC/ 为生成目录，同时即 CDN 根）
+python gen_rulesets.py            # 幂等：内容无变化则不写盘；原子替换
+python gen_rulesets.py --check    # 只预览差异，不写盘
+```
+
+产物文件名与 URL 固定，**订阅端与客户端均无需改动**：mihomo 按 `interval: 86400` 自动更新，
+Shadowrocket 在「配置 → 规则集URL」中自动更新。
+
+### 12.4 客户端接入
+
+```bash
+# mihomo / Clash Verge：规则走 rule-providers（YAML 约 2.4KB）
+...&method=clash
+# 不认 rule-providers，或要「导入一次到位」：规则内联（约 440KB）
+...&method=clash&rules=inline
+# Shadowrocket：只下发规则（[General] + 远程 RULE-SET + FINAL，不含节点）
+...&method=shadowrocket
+# 兜底：全流量走代理（旧行为）
+...&method=clash&rules=global
+```
+
+> `method=shadowrocket` 的 `.conf` 不写 `[Proxy]` 段——Shadowrocket 的 REALITY 参数写法官方未文档化，不猜测；
+> 策略 `PROXY` 指向首页当前选中的节点，节点用 `clash`/`v2ray` 订阅导入。
+> 想在小火箭里「一次导入节点+规则」，用 `method=clash&rules=inline`。
+
+### 12.5 验证口径
+
+- 生成：11415 条规则（`regexp:` 跳过 7、非法 1）
+- CDN：三个 URL HTTP 200，md5 与本地一致（`806808b8` / `8f89397e` / `3e75093d`）
+- mihomo v1.19.31 真实内核：`-t` 通过；运行时 `GET /providers/rules` 报 `3943 / 16 / 7456`（`behavior=Classical`），
+  落地文件字节数与生成一致；`rules=inline` 亦通过 `-t`
+- Shadowrocket 为 iOS 应用，未做实机验证（依官方手册 `RULE-SET` 与 Clash YAML 兼容说明实现）