DNS 解析的完整过程是怎样的？

详细解析#

域名的层级结构#

www.example.com.
 │     │     │ │
 │     │     │ └─ 根域（.），书写时通常省略
 │     │     └─── 顶级域（TLD）：com、cn、org 等
 │     └───────── 二级域：example.com，一般就是注册的域名
 └─────────────── 子域：www.example.com，由域名所有者自己设置

解析过程#

浏览器
  1. 查浏览器自己的 DNS 缓存
  2. 查操作系统的 DNS 缓存和 hosts 文件
  3. 都没有，向本地 DNS 服务器发起查询（递归查询）
        │
        ▼
本地 DNS 服务器（递归解析器）：有缓存就直接返回，没有就逐级去问（迭代查询）
  4. 问根域名服务器                  → 告诉它 com 顶级域名服务器的地址
  5. 问 com 顶级域名服务器           → 告诉它 example.com 权威域名服务器的地址
  6. 问 example.com 的权威域名服务器 → 返回 www.example.com 的 IP：203.0.113.10
  7. 把 IP 返回给浏览器，并按 TTL 缓存

• 本地 DNS 服务器通常由运营商提供，联网时自动配置；也可以手动改成 223.5.5.5（阿里）、8.8.8.8（Google）等公共 DNS
• 各级结果都会被缓存，实际很少需要从根开始查，比如 com 顶级域名服务器的地址通常早就在本地 DNS 服务器的缓存里了
• 根域名服务器只有 13 个名字（a.root-servers.net 到 m.root-servers.net），但它们通过任播在全球部署了大量节点，并不是全球只有 13 台机器
• DNS 查询通常使用 UDP 的 53 端口，响应过大时改用 TCP（见 从输入 URL 到页面显示 的追问）

常见记录类型#

TTL#

每条记录都带有 TTL（单位是秒），浏览器、操作系统、本地 DNS 服务器在 TTL 内直接使用缓存。修改记录后，要等各级缓存里的旧记录过期，新记录才会全面生效。

前端优化#

• 用 dns-prefetch 提前解析后面会用到的域名，比如 <link rel="dns-prefetch" href="https://cdn.example.com">（见 资源提示）
• 减少页面使用的域名数量：每多一个域名，就多一次 DNS 解析，还要新建连接

安全问题#

• DNS 劫持：解析结果被篡改、返回错误的 IP，比如运营商把访问导向广告页，或者路由器的 DNS 设置被恶意修改
• 缓存污染（DNS 投毒）：攻击者伪造 DNS 响应，让解析器缓存错误的记录，所有使用这个解析器的用户都会受影响

HTTPS 也能兜底：即使 DNS 被劫持到假服务器，对方拿不出有效的证书，浏览器会报错（见 HTTPS）。

面试官可能追问#

易错点#

• 递归和迭代的方向不要说反：客户端问本地 DNS 服务器是递归，本地 DNS 服务器问根、顶级、权威域名服务器是迭代
• 改了 hosts 文件没生效，可能是浏览器还在用自己缓存的旧结果，或者开着代理
• DNSSEC 只防篡改、不加密；防窃听要用 DoH / DoT