必须立即启用doh加密解析以防御dns劫持；可通过图形界面选择预设服务商（如google、cloudflare）、手动输入自定义doh uri（如https://dns.alidns.com/dns-query）、chrome://flags强制启用force https模式，最后用chrome://net-internals/#dns验证“secure”列为true且解析记录含“https”。
当您发现网页跳转到陌生地址、特定网站打不开，或怀疑本地网络正在篡改DNS请求时，必须立即启用DoH加密解析——它能把原本裸奔的域名查询裹进HTTPS隧道，让中间设备再也无法窥探或劫持。
通过图形界面开启并选择预设DoH服务商
这是最稳妥的入门方式，Chrome会自动检测网络环境并协商可用端点，适合绝大多数用户。
1、点击浏览器右上角三个垂直圆点 → 选择“设置”。
2、左侧导航栏点击“隐私和安全” → 右侧滚动找到并点击“安全性”。
3、向下滚动至“高级”区域，定位“使用安全DNS”开关 → 将其开启。
4、在“选择服务提供商”下拉菜单中，任选Google、Cloudflare、OpenDNS或阿里云DNS（dns.alidns.com）之一。浏览器将自动加载对应DoH端点，并在后台验证连通性。
这一步无需手动输入地址，也无需重启，开关打开即生效。但注意：【若当前网络屏蔽了标准DoH探测（如企业内网），此方式可能静默失败】。
手动填入自定义DoH URI地址
当您需要绕过默认推荐、验证私有DoH服务，或应对已知被污染的本地DNS时，必须强制指定加密路由。
方法一：图形界面直填
1、按上一节路径进入“使用安全DNS”设置页。
2、在“选择如何处理安全DNS”区域，勾选“使用特定的服务”单选按钮。
3、在下方输入框中，粘贴完整DoH URI，例如：
https://dns.google/dns-query
https://cloudflare-dns.com/dns-query
https://dns.alidns.com/dns-query
https://dns.quad9.net/dns-query
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
4、输入后等待右侧出现绿色对勾图标——表示Chrome已成功连接并确认该端点有效；若显示红色叉号，请检查URI拼写或网络是否拦截HTTPS请求。
方法二：通过chrome://flags强制注入
1、地址栏输入chrome://flags → 回车进入实验性功能页。
2、顶部搜索框输入dns over https → 找到“DNS over HTTPS (DoH) mode”选项 → 下拉选择“Force HTTPS”模式。
3、再次搜索add an insecure dns-over-https provider → 启用该选项 → 在下方输入框填入相同DoH URI。
4、点击页面底部Relaunch按钮，浏览器将强制重启并绕过所有自动协商逻辑，直接走您指定的加密通道。
验证DoH是否真正生效
配置完成不代表万无一失，必须现场验证加密路由是否被实际调用。
第一步：在地址栏输入chrome://net-internals/#dns → 回车打开DNS调试面板。
第二步：点击右上角“Clear host cache”清空本地缓存。
第三步：访问任意网站（如https://example.com）后，回到该页面 → 点击“Query DNS”按钮，在下方日志中查找含“https”字样的解析记录，例如“https://dns.google/dns-query”出现在“secure_dns_server”字段中，即为成功。
第四步：观察“Secure”列是否显示“true”——只有这一列是true，才代表本次查询真正走了加密路径，而非降级为明文DNS。
