macos 防范 dns 污染需组合配置：一、更换抗污染公共 dns（如 223.5.5.5 + 114.114.114.114）；二、启用 doh/dot 加密解析；三、清理 dns 缓存与 hosts 文件；四、禁用 dhcp 自动获取 dns 及 ipv6 干扰。
macOS 本身不提供“DNS 污染防范策略”这一开关式设置，但可通过组合配置 DNS 解析路径、加密传输、缓存控制与本地拦截等手段，实质性抵御 DNS 污染——核心是让域名解析绕过不可信中间节点，直接获得真实 IP。
更换抗污染公共 DNS
ISP 提供的 DNS 是污染重灾区。换成响应快、无审查、支持 DNSSEC 的公共 DNS，是最直接有效的第一步：
- 推荐组合：优先用 223.5.5.5（阿里 DNS） + 114.114.114.114（CNNIC），国内访问稳定且抗污染能力强；备用可选 1.1.1.1 / 1.0.0.1（Cloudflare） 或 8.8.8.8 / 8.8.4.4（Google）
- 设置方式：系统设置 → 网络 → 当前连接 → 详细信息 → DNS → 点“+”添加，再拖至列表顶部
- 终端批量设置（如 Wi-Fi）：
networksetup -setdnsservers "Wi-Fi" 223.5.5.5 114.114.114.114
启用加密 DNS（DoH 或 DoT）
明文 DNS 请求易被劫持或篡改，加密 DNS 可确保查询内容不被窥探和干扰：
-
macOS Ventura 及更新系统（Sonoma/Sequoia）：直接在“网络 → DNS”中添加 DoH 地址，例如
https://dns.google/dns-query或https://cloudflare-dns.com/dns-query -
旧版本 macOS：需借助
dnscrypt-proxy或stubby工具实现 DoT/DoH；安装后将系统 DNS 指向127.0.0.1，由本地代理转发加密请求 - 验证是否生效：终端运行
scutil --dns，查看nameserver是否为127.0.0.1（本地代理）或输出含dns-https字样
清理并锁定 DNS 缓存与 hosts
污染常固化在本地缓存或 hosts 文件中，需主动清理+防护：
- 刷新系统 DNS 缓存：
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder - 检查
/etc/hosts是否被恶意注入：sudo nano /etc/hosts，删除所有非注释行中指向0.0.0.0或127.0.0.1的域名映射（如0.0.0.0 github.com） - 对 GitHub 等高频被污染站点，可临时手动绑定可信 IP（查实时 IP 后写入 hosts），作为快速兜底方案
禁用自动 DNS 获取与 IPv6 干扰
避免系统被 DHCP 或路由器推送污染 DNS，同时减少 IPv6 解析失败导致的降级延迟：
- 进入“网络 → 当前连接 → 高级 → TCP/IP”，将 IPv4 配置改为“手动”，并勾选“忽略来自 DHCP 服务器的 DNS 服务器地址”（若选项存在）
- 在“IPv6”标签页中，将配置方式设为“仅本地链接”或“关闭”，尤其适用于企业网络、校园网或老旧路由器环境
- 验证当前 DNS 生效源：
scutil --dns | grep nameserver，确认输出中不含 ISP 提供的地址（如 192.168.x.x 或 114.255.x.x）
