如何在safari浏览器中开启DNS-over-HTTPS以增强上网安全性？

在 macOS 上启用 DNS-over-HTTPS（DoH）可以让 Safari、Mail、Finder 等系统级应用通过加密通道发送 DNS 查询，有效防止网络中间人窃听或篡改域名解析结果。Safari 浏览器本身不提供独立开关，完全依赖系统级 DNS 配置生效。本教程将手把手教你完成设置、验证并解决常见问题。

前提条件

• macOS 系统版本：支持 DoH 的系统级配置自 macOS 13+ 起完整可用，建议升级至最新版本。
• 网络连接：Wi-Fi 或以太网均可，确保当前连接活跃。
• 管理员权限：修改 DNS 设置需要管理员密码。

在 macOS 系统设置中添加支持 DoH 的 DNS 服务器

打开「系统设置」→ 点击左侧「网络」→ 右侧选择当前活跃的连接（如 Wi-Fi 或以太网）→ 点击右下角「详细信息…」。

切换到「DNS」标签页 → 点击左下角「+」号 → 输入一个支持 DoH 的公共 DNS 服务器 IP 地址，例如 （Cloudflare）或 （Google）。

选中刚添加的 DNS 条目 → 点击下方「配置 DNS over HTTPS」链接 → 在弹出窗口中勾选「启用 DNS over HTTPS」→ 从下拉菜单选择服务商（如 Cloudflare 或 Google），或手动输入完整 DoH URI（如 https://dns.google/dns-query）→ 点击「好」。

注意：若输入的 URI 格式错误（比如漏掉 /dns-query 后缀、用 HTTP 协议、证书不可信），系统会静默失败，不会报错也不会显示提示——此时 DNS 列表中该条目旁不会出现小锁图标。

验证 Safari 是否已使用 DoH

打开 Safari，访问 https://1.1.1.1/help 页面。

等待页面加载完成，查看「DNS over HTTPS」一栏状态。

若显示 「Enabled」 且右侧有绿色对勾，则说明 Safari 正在通过加密 HTTPS 通道发起 DNS 查询。

检查系统是否识别 DoH 配置

提供三种验证方法，任选其一即可：

• 方法一：
  回到「系统设置 > 网络 > DNS」列表，确认对应 DNS 条目右侧已出现小锁图标。（小锁图标代表 DoH 配置已生效）

• 方法二：
  在终端执行 scutil --dns，查找输出中是否包含 dnssec: enabled 和 doh: enabled 字样（macOS 13+ 支持此字段）。

• 方法三：
  用 Safari 打开 https://cloudflare-dns.com/help，观察「DoH Status」是否为绿色「Secure」。

特色功能：为什么选择 DoH？

• 隐私保护：
  DNS 查询内容不再明文传输，ISP 或中间人无法监控你访问的域名。

• 防篡改：
  加密+签名防止 DNS 劫持或注入虚假响应。

• 性能提升：
  部分 DoH 服务商（如 Cloudflare）提供更快的解析速度，并支持缓存优化。

• 系统级集成：
  仅影响 Safari、Mail、Finder 等系统框架应用，不影响终端命令如 dig 或 curl，方便开发测试。

常见问题（FAQ）

Q1：设置后 Safari 访问 1.1.1.1/help 仍显示“Not Enabled”怎么办？

首先检查小锁图标是否出现。若没有，请确认 DoH URI 格式是否正确（例如 Cloudflare 的 URI 为 https://cloudflare-dns.com/dns-query，Google 为 https://dns.google/dns-query）。注意：不要遗漏 /dns-query 后缀，不要使用 HTTP 协议。如果仍失败，尝试重启 Safari 或重新添加 DNS 条目。

Q2：为什么 Mac 终端中的 dig 命令查询仍显示普通 DNS？

这是正常现象。DoH 仅作用于系统框架应用（Safari、Mail、Finder 等），终端命令如 dig、curl 默认使用系统 libresolv 库，不受 DoH 配置影响。如需终端使用加密 DNS，可额外安装 cloudflared 等工具。

Q3：多个 DNS 服务器混合配置（一个 DoH 一个普通）会怎样？

系统会优先使用列表中第一个可用条目。如果第一个条目配置了 DoH 且生效，则后续普通条目将作为备用。但建议全部配置为支持 DoH 的服务器，避免降级到不加密查询。

Q4：启用 DoH 后会影响某些网站访问吗？

极少数情况下，公共 DoH 服务商可能存在区域限制或过滤规则，导致某些网站无法解析。如果遇到问题，可临时关闭 DoH 或更换服务商（如从 Cloudflare 换成 Google）。

总结

通过以上步骤，你已经成功为 macOS 系统的 Safari 等应用启用了 DNS-over-HTTPS 加密。记住：小锁图标是配置生效的关键标志，而 https://1.1.1.1/help 页面是快速验证的可靠方法。如果遇到问题，请检查 URI 格式、重启网络服务或更新 macOS 版本。现在，你的浏览隐私又多了一层保护！