规则配置是网络流量分流的交通法规。本文详细剖析规则自上而下的扫描机理、不同规则类型的开销差异与优先级顺序，并结合具体案例演示如何精准定位分流异常。
当我们在浏览器中输入一个网址并敲下回车时，数据包在离开操作系统之前，需要经过 Clash 规则引擎的层层检验。许多用户在配置规则时常常遇到“明明加了代理规则，为什么打开网站依然显示直连”的现象，这通常是因为未能正确理解规则的匹配顺序与短路求值原则。
在 Clash 及 Mihomo 的规则设计中，最核心的一条铁律是：“自上而下匹配，首次命中即止”（First-Match Wins）。也就是说，内核在处理一个网络连接请求时，会从配置文件中 rules 列表的第一行开始，逐行向下比对。一旦当前请求的特征满足了某一行规则的条件，内核就会立即将该请求指派给这一行所绑定的出站策略组，并且直接终止后续所有规则的扫描比对。
因此，规则在文件中的物理书写顺序决定了它的实际优先级。在设计分流规则表时，业界通行的黄金法则是“由具体到宽泛，由高精到兜底”。
最上方通常应当放置最高精度的精确域名匹配（DOMAIN）或私有直连规则（如本地局域网 IP-CIDR）。例如将公司内网域名或特定测试主机明确指定为 DIRECT；
中间位置放置基于域名后缀（DOMAIN-SUFFIX）或关键字（DOMAIN-KEYWORD）的大型分流规则集，用于识别常见的主流服务与多媒体平台；
再下方放置基于地理位置数据库的地理规则（如 GEOIP,CN），用于将未在前面域名列表中列出的所有国内服务器 IP 统一分流至直连；
最底端则必须放置且只能放置一条全局兜底规则（MATCH），用于接管所有前面规则均未命中的漏网流量。
为了帮助大家建立清晰的规则层级概念，下表展示了常见规则类型的匹配逻辑与执行顺序：
| 匹配类型 | 语法示例 | 匹配目标与判定方式 | 推荐放置顺序 |
|---|---|---|---|
| 精确域名 | DOMAIN,api.example.com,代理组 | 仅当完整域名完全一致时触发 | 顶部（最高优先级） |
| 域名后缀 | DOMAIN-SUFFIX,github.com,开发组 | 匹配主域名及其所有各级子域名 | 上半部（服务分类） |
| 关键字 | DOMAIN-KEYWORD,google,代理组 | 只要域名中包含该子串即触发 | 中部（需谨慎避免误伤） |
| IP网段 | IP-CIDR,192.168.0.0/16,DIRECT | 针对解析后的目标 IP 地址段匹配 | 局域网放行置顶，公网居中 |
| 地理位置 | GEOIP,CN,DIRECT | 依据 GeoIP 数据库比对目标 IP 所属国别 | 靠近尾部（大范围粗筛） |
| 全局兜底 | MATCH,漏网之鱼 | 无条件捕获前面所有未命中的请求 | 必须处于规则表最底端 |
在规则编写中，最常见的失误是将宽泛规则写在了具体规则的前面。举个典型的例子：如果用户在配置开头写了一条“DOMAIN-KEYWORD,apple,DIRECT”，意图将苹果应用商店更新分流到直连；但随后又在下方写了一条“DOMAIN-SUFFIX,developer.apple.com,代理组”。根据首命中原则，所有访问苹果开发者官网的请求在扫描到第一条关键字规则时就已经被提前拦截并执行了直连，下方的开发者代理规则将形同虚设，永远没有被执行的机会。
此外，需要特别注意基于 IP 的规则（如 IP-CIDR 和 GEOIP）往往会触发内核的本地 DNS 解析。如果一个域名未能在前面的域名规则中被提前拦截，内核就必须先向本地 DNS 发起查询以获取该域名的真实 IP，随后才能与 GEOIP 规则进行比对。如果用户的本地 DNS 环境存在劫持或污染，这一步解析就可能导致判定失真。因此，合理将常用国际服务配置在 DOMAIN-SUFFIX 规则中，是兼顾分流准确性与降低解析延迟的最佳实践。