refactor(types): govern IP address helpers with strict mypy

app/adapters/network/ip.py

@@ -7,7 +7,7 @@ class IpUtils:
     """提供 IP 地址、域名和内外网判断能力。"""
 
     @staticmethod
-    def is_ipv4(ip):
+    def is_ipv4(ip: str) -> bool:
         """
         判断是不是ipv4
         """
@@ -24,7 +24,7 @@ class IpUtils:
         return True
 
     @staticmethod
-    def is_ipv6(ip):
+    def is_ipv6(ip: str) -> bool:
         """
         判断是不是ipv6
         """
@@ -35,20 +35,20 @@ class IpUtils:
         return True
 
     @staticmethod
-    def is_internal(hostname):
+    def is_internal(hostname: str) -> bool:
         """
         判断一个 host 是否为内网地址，无法提取主机名时按外网处理
         """
-        hostname = urlparse(hostname).hostname
-        if not hostname:
+        parsed_hostname = urlparse(hostname).hostname
+        if not parsed_hostname:
             return False
-        if IpUtils.is_ip(hostname):
-            return IpUtils.is_private_ip(hostname)
+        if IpUtils.is_ip(parsed_hostname):
+            return IpUtils.is_private_ip(parsed_hostname)
         else:
-            return IpUtils.is_internal_domain(hostname)
+            return IpUtils.is_internal_domain(parsed_hostname)
 
     @staticmethod
-    def is_ip(addr):
+    def is_ip(addr: str) -> bool:
         """
         判断是不是ip
         """
@@ -59,7 +59,7 @@ class IpUtils:
             return False
 
     @staticmethod
-    def is_internal_domain(domain):
+    def is_internal_domain(domain: str) -> bool:
         """
         判断域名是否为内部域名
         """
@@ -73,7 +73,7 @@ class IpUtils:
         return IpUtils.is_private_ip(ip)
 
     @staticmethod
-    def is_private_ip(ip_str):
+    def is_private_ip(ip_str: str) -> bool:
         """
         判断是不是内网ip
         """

docs/code-quality.md

@@ -75,7 +75,7 @@ uv run --locked --no-sync python scripts/architecture/complexity.py
 回调和返回值类型；全仓错误计数为零并不保证单独纳入 strict frontier 后也为零。
 
 2026-10-16 开始逐文件清理类型债务，`app/domain/title.py` 通过局部可空类型声明保留
-既有搜索解析行为，并纳入严格清单；当前清单共 52 个文件（51 个生产文件和 1 个脚本）。
+既有搜索解析行为，并纳入严格清单；当前清单共 53 个文件（52 个生产文件和 1 个脚本）。
 每个治理提交只修改一个生产文件及其必要测试、门禁配置、真实下降基线和指标文档。
 验收同时检查完整严格清单与全宿主 Linux 分析，避免 `follow_imports = skip` 隐藏依赖
 签名冲突；不通过忽略诊断或放宽类型合同接受回退。最新文件清单以 `mypy.ini` 为准，

docs/refactor/optimization-checklist.md

@@ -108,7 +108,7 @@ ARCH-201 至 ARCH-204 均达到实现、验证、提交、推送和远端门禁
 | Event Contract | 53 | 均已有 payload model，但当前全部是 diagnostic enforcement |
 | Python 源码量 | 371,939 行 | 本次重新扫描物理行数，排除 `app/plugins/**`；74 个文件超过 1,000 行，12 个超过 2,000 行；源码尺寸仅作观察 |
 | 长方法 | 309 个超过 80 行 | 本次 AST 扫描排除 `app/plugins/**`；61 个超过 150 行，17 个超过 250 行；新增函数仍受 C901/嵌套深度门禁约束 |
-| 全量 mypy 历史债务 | 9,101 / 500 文件 | 通知排版补齐 Slack 消息块类型，历史债务减少 2 项；工作流资源过滤改用领域对象调用过滤链，恢复的节点输出在消费前归一化，并收紧可空资源列表的类型低水位；消息媒体交互类型债务已清零，canonical Facade 与 endpoint 类型边界已补齐，低水位只允许继续下降；微信 ClawBot 入站 item_list 媒体解析改为按子项键名分派后，类型错误减少 4 项；站点解析器分享率改用浮点初值，类型错误减少 20 项；本次下载与文件安全修复再减少 3 项，逐文件逐错误码无增长 |
+| 全量 mypy 历史债务 | 9,091 / 499 文件 | 通知排版补齐 Slack 消息块类型，历史债务减少 2 项；工作流资源过滤改用领域对象调用过滤链，恢复的节点输出在消费前归一化，并收紧可空资源列表的类型低水位；消息媒体交互类型债务已清零，canonical Facade 与 endpoint 类型边界已补齐，低水位只允许继续下降；微信 ClawBot 入站 item_list 媒体解析改为按子项键名分派后，类型错误减少 4 项；站点解析器分享率改用浮点初值，类型错误减少 20 项；本次下载与文件安全修复再减少 3 项，逐文件逐错误码无增长 |
 | Ruff 历史诊断 | 100 | 低水位门禁通过，但规则集只覆盖 `E4/E7/E9/F/I` |
 | 覆盖率固定基线 | Application 80.00%，Domain 80.00% | Chain、Runtime、Agent、Adapter、Startup 未进入包级覆盖率门禁 |
 

mypy.ini

@@ -16,6 +16,7 @@ files =
     app/foundation/url.py,
     app/foundation/reflection.py,
     app/adapters/network/cloudflare.py,
+    app/adapters/network/ip.py,
     app/adapters/web/correlation.py,
     app/agent/contracts.py,
     app/runtime/correlation.py,

tests/fixtures/architecture/mypy-baseline.json

@@ -61,10 +61,6 @@
     "no-untyped-def": 33,
     "type-arg": 26
   },
-  "app/adapters/network/ip.py": {
-    "no-untyped-call": 4,
-    "no-untyped-def": 6
-  },
   "app/adapters/system/backup/database.py": {
     "assignment": 2
   },