排查“域名解析异常”“被运营商插广告”这类问题时光查一条 DNS 记录不够需要对比多个解析源的返回结果。DNS 劫持检测接口通过多家公共 DoH 并发查询同一域名并比对结果给出风险分级。本文从第一次调用讲起。一、适用场景解析异常排查用户反馈域名打不开判断是本地污染还是服务端问题。安全巡检对关键域名做定期检测发现解析被篡改的迹象。CDN 与 GeoDNS 核查查看是否存在异常地域分流。终端 hosts 排查对比公共 DoH 结果辅助判断本机解析是否被改。需要明确接口给出的是“基于多源对比的风险判断”不是对劫持行为的取证结论业务上应作为排查线索而非最终裁决。二、接口能力边界项目说明请求方法GET参数domain查询源4 家公共 DoH 并发查询记录类型A AAAA 同时查询IPv4 / IPv6附加信息CNAME 链路、TTL 汇总风险分级safe / safe_with_geodns / suspicious / hijack_likely / unknown输入兼容domain、https://domain、domain:port、domain/path 自动剥离参与对比的 DoH 服务器来源说明AliDNS阿里云中国DNSPod腾讯中国360 安全 DNS中国Cloudflare美国在中国大陆服务器侧可能超时会被标记为 timeout关键点Cloudflare 出现timeout是已知现象单看这一项超时不能直接判定为风险要结合其余三家的结果与整体分级来看。三、请求参数与鉴权参数只有一个参数说明domain待检测域名支持多种输入格式自动剥离协议、端口与路径鉴权方式与请求头字段素材未给出以文档为准。这是GET请求参数放在查询字符串中接入前请确认是否需要携带 Key。四、最小请求示例下面是一个可复制的 curl 模板curl -X GET https://v1.apizero.cn/api/dns-check?domainexample.com带协议头的输入也能直接传接口会自动剥离curl -X GET https://v1.apizero.cn/api/dns-check?domainhttps://example.com对应的 Python 调用示例import requests def check_dns_hijack(domain: str, api_key: str | None None) - dict: headers {} if api_key: headers[Authorization] fBearer {api_key} resp requests.get( https://v1.apizero.cn/api/dns-check, params{domain: domain}, headersheaders, timeout20, # 多源并发查询超时给宽一些 ) resp.raise_for_status() return resp.json()超时建议比普通查询放宽因为接口内部要并发等待多家 DoH 返回。五、返回值解读风险分级是核心结果五档含义如下具体判定规则以文档为准分级含义理解safe多家结果一致未发现异常safe_with_geodns结果差异可由正常 GeoDNS 分流解释suspicious存在可疑差异需人工复核hijack_likely多源结果显著不一致疑似劫持unknown数据不足或查询源多数失败无法判断除分级外还应关注 A/AAAA 记录、CNAME 链路与 TTL 汇总。CNAME 链路能看出是否经过 CDN 跳转TTL 能辅助判断缓存影响。一个防御式解析示例字段名请按文档实际返回替换LEVELS {safe, safe_with_geodns, suspicious, hijack_likely, unknown} def parse_check(payload: dict) - dict: level payload.get(level) or payload.get(risk) # 字段名以文档为准 if level not in LEVELS: level unknown sources payload.get(sources) or {} timeouts [name for name, info in sources.items() if isinstance(info, dict) and info.get(status) timeout] return { level: level, timeout_sources: timeouts, need_manual_review: level in (suspicious, hijack_likely), }处理逻辑建议suspicious与hijack_likely进入人工复核队列unknown先重试一次再判定safe_with_geodns不必告警。六、常见错误与排查现象可能原因排查方向参数错误domain为空或格式非法传标准域名其余格式由接口剥离超时查询源响应慢Cloudflare 侧可能超时放宽超时看是否为单源超时结果为 unknown多数查询源失败或数据不足稍后重试检查域名是否可解析分级与预期不符GeoDNS 正常分流被误判结合 CNAME 与 A 记录人工复核鉴权失败需要 Key 但未携带以文档为准补充请求头注意单个来源timeout属于正常现象不要把它当成劫持证据也不要在这种情况下直接告警。七、工程化注意事项超时设置多源并发查询耗时更长客户端超时应显著大于单次 DNS 查询。分级映射本地维护五级枚举未知值统一归入unknown避免展示层崩溃。告警策略只对hijack_likely直接告警suspicious走人工复核unknown重试后再定。来源记录保存各 DoH 的返回与超时情况便于复盘误判。巡检频率域名安全巡检按小时或按天做即可不宜高频调用。结果展示把 CNAME 链路和 TTL 一并展示给排查人员比只给一个分级更有用。参考文档接口文档