你输入一个网址，浏览浏览器要把这个域名翻译成IP地址才能访问。器开启这个翻译过程就是安全DNS解析。默认情况下，解析它走的作用是UDP 53端口，明文传输。浏览你访问了什么网站，器开启你的安全运营商、同一个WiFi下的解析其他人、甚至路径上的作用任何节点，都能看得一清二楚。浏览

浏览器里那个"安全DNS"或者"DNS over HTTPS"的器开启开关，做的安全事很简单：把DNS查询塞进HTTPS加密通道里。外面的解析人只能看到你连了某个DNS服务器，但看不到你查了什么域名。作用

不加密的DNS有多裸奔

举个真实场景。你在星巴克连上WiFi，打开浏览器访问公司内网。DNS查询明文发出，同一网络下随便一个人跑个抓包工具，就能看到你在解析 internal.company.com。你的浏览器还会自动解析页面里引用的所有第三方域名——广告商、CDN、分析服务，全暴露了。

运营商那边更直接。他们能拿到你的完整DNS日志，知道你在什么时间访问了什么网站。这些数据可以用来做用户画像，也可能因为各种原因被调取。

DNS劫持也是老问题。有些网络会返回错误的IP地址，把你导到广告页面或者钓鱼网站。你输入的是银行域名，打开的却是一个长得差不多的假站。

开启之后发生了什么

浏览器不再用系统默认的DNS服务器，而是通过HTTPS直接连到你指定的安全DNS服务商，比如Cloudflare的1.1.1.1或者Google的8.8.8.8。查询内容加密，返回结果也加密。中间人看不到你查了什么，也没法篡改返回的IP地址。

我自己的习惯是Chrome里手动设成Cloudflare的安全DNS。访问一些被DNS污染的小众技术博客时，开启前经常解析失败，开启后基本秒开。这不是玄学——明文DNS查询在路径上被干扰了，加密之后干扰不了。

还有一个实际好处：有些运营商DNS会插入广告。你访问一个不存在的域名，返回的不是错误页，而是满屏广告的导航站。换成安全DNS后，这种情况直接消失。

代价和限制

安全DNS不是隐身衣。你的DNS服务商能看到你查了什么——只是从运营商换成了Cloudflare或Google。信任转移了，没有消失。

速度方面，DoH比传统DNS多几次握手，首次查询可能慢几十毫秒。不过浏览器会缓存，实际体验差别不大。Cloudflare的1.1.1.1在多数地区响应很快，国内一些公共DNS也开始支持DoH。

企业内网可能出问题。有些公司内网域名只在内网DNS里解析，用了外部安全DNS就找不到内部服务了。这种情况需要把内网域名加到例外列表，或者干脆不开。

另外，安全DNS只保护DNS查询本身。你访问的网站内容、你发送的数据，那是HTTPS负责的事。DNS加密解决的是"你去了哪"不被偷看，不解决"你说了什么"不被偷看。

要不要开

我的判断：日常用公共WiFi多、在意隐私、不想被运营商插广告的人，值得开。用公司内网、需要访问内部系统的人，谨慎开或者配好例外。对绝大多数普通用户来说，开了不会有任何感知上的坏处，但确实堵上了一个长期被忽视的明文泄露口子。

浏览器设置里搜"安全DNS"就能找到。选一个你信得过的服务商，打开开关，完事。就这么简单。

(责任编辑：娱乐)