去年帮朋友处理过一台笔记本，样屏打开浏览器就自动跳转到一个博彩网站，网站主页被改得面目全非。样屏他试过卸载浏览器、网站重置设置，样屏甚至重装系统，网站结果那个域名还是样屏阴魂不散。问题出在路由器上——有人改过 DNS 劫持。网站这件事让我意识到，样屏屏蔽网站远不止“在浏览器里点个叉”那么简单。网站

最直接的样屏办法是在电脑的 hosts 文件里动手脚。Windows 系统里，网站这个文件藏在 C:\Windows\System32\drivers\etc 下面，样屏用记事本以管理员身份打开，网站在末尾加一行 127.0.0.1 要屏蔽的样屏域名。比如 127.0.0.1 www.example.com，保存后刷新 DNS 缓存（命令行敲 ipconfig /flushdns），这个域名就被指向了本机，浏览器自然打不开。Mac 和 Linux 同理，路径在 /etc/hosts。这个方法干净、免费，缺点是每台设备都得单独设置，家里五台手机三台电脑就得折腾八遍。

路由器层面处理更省事。登录路由器后台，找“访问控制”或“网站过滤”功能，不同品牌叫法不一样。TP-Link 叫“行为管控”，华硕在“防火墙”里的“网址过滤”，小米路由器藏在“工具箱”里。把域名填进去，整个局域网下的设备都生效。我自己的做法是直接改 DNS，把路由器 DNS 换成 1.1.1.1 或 8.8.8.8，再配合 OpenDNS 的家庭防护版 208.67.222.123，它能自动拦截成人内容和恶意站点。改 DNS 的好处是不用逐个填域名，坏处是懂行的人手动改回 DNS 就绕过去了。

手机端又是另一套逻辑。iOS 用“屏幕使用时间”里的“内容和隐私访问限制”，可以限制成人网站，但只能按类别拦，不能指定某个具体域名。Android 各家定制系统差异大，原生 Android 在“数字健康”里能设，国产 ROM 通常集成在“儿童模式”或“隐私保护”中。真正精准屏蔽某个 App 内的网页，比如微信里打开的链接，系统级工具基本无能为力。这时候得靠第三方 DNS 应用，比如 iOS 上的 DNSCloak，或者 Android 的 Intra，它们通过本地 VPN 接管所有 DNS 请求，把黑名单域名解析到黑洞地址。

浏览器插件是最轻量的方案。Chrome 和 Edge 上装 BlockSite 或 StayFocusd，输入域名就能拦。BlockSite 还能设时间表，比如工作日 9 点到 18 点禁止访问某站。缺点很明显——换浏览器就失效，无痕模式可能绕过，手机浏览器大多不支持扩展。我试过在 Chrome 上屏蔽一个新闻站，结果用 Firefox 打开毫无阻碍，这种“屏蔽”更像自我提醒而非技术封锁。

企业环境里常见的是防火墙和代理服务器。pfSense、OpenWRT 这类软路由可以配 Squid 代理，配合 SquidGuard 做黑名单过滤。更专业的用 Cisco Umbrella 或 Fortinet 的 FortiGuard，按类别和域名实时拦截。这套东西对家庭用户太重了，配置门槛高，还得维护规则库更新。我见过小公司用旧电脑装 pfSense 做网关，结果规则写错导致全公司断网半天，老板差点把网管开了。

说个容易被忽略的点：屏蔽网站往往涉及 DNS 缓存和 HTTPS。hosts 文件对 HTTPS 网站有效，因为域名解析被劫持后证书验证会失败，浏览器直接报错。但有些网站用 IP 直连或者 DoH（DNS over HTTPS），比如 Chrome 默认开启 DoH 后，hosts 文件就失效了。得在 chrome://settings/security 里关掉“使用安全 DNS”，或者把 DoH 提供商改成自定义。Firefox 同理，在“隐私与安全”里关掉“基于 HTTPS 的 DNS”。

最后说个真实教训。有人为了屏蔽游戏网站，在路由器里把 *.game.com 整个泛域名封了，结果公司官网的某个子域名恰好也在这个泛解析下，直接导致官网无法访问。屏蔽之前最好先查清楚域名结构，用 nslookup 或在线 DNS 查询工具确认解析记录。别像那位老兄一样，封一个站结果误伤一片。