火狐浏览器启用DNS-over-HTTPS可彻底阻断UDP 53明文DNS查询，实现TLS加密解析以防范劫持与监听；需在隐私设置中开启并选“增强保护”，或通过about:config强制配置TRR参数及排除内网域名。
火狐浏览器开启DNS-over-HTTPS加密解析能彻底阻断明文DNS查询在UDP 53端口上的裸奔传输，让每次域名解析都走TLS加密的HTTPS通道，从源头切断运营商劫持、公共Wi-Fi监听和局域网DNS污染路径——你输入的每个网址，其解析过程再不会被中间设备篡改或记录。
通过隐私与安全设置启用增强保护模式
这一步适合绝大多数桌面用户，图形界面操作直观，且自带服务连通性探测与自动降级逻辑，网页不会因DoH临时不可用而打不开。
1、在地址栏输入about:preferences#privacy并回车，进入隐私与安全设置页。
2、向下滚动至“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。
3、在“保护级别”下拉菜单中选择【增强保护】——该模式强制优先使用你指定的DoH服务，仅在其完全无响应时才回退到系统DNS，避免静默劫持。
4、点击“使用以下提供程序”旁的“自定义”按钮，在弹出框中粘贴国内稳定地址：https://dns.alidns.com/dns-query或https://doh.pub/dns-query。
5、点击“保存更改”，状态显示“成功”后即可关闭页面。新标签页的DNS查询已默认加密。
通过about:config强制锁定DoH参数
当图形界面配置未生效、企业网络屏蔽了DoH协商逻辑，或你必须确保浏览器绝不使用本地DNS时，需绕过UI直接修改底层参数。
方法一：基础强制启用
1、地址栏输入about:config→ 回车 → 点击“接受风险并继续”。
2、搜索network.trr.mode，双击将其值设为【2】（表示始终使用TRR，失败才回退）。
3、搜索network.trr.uri，双击编辑，填入DoH地址，例如：https://dns.alidns.com/dns-query。
方法二：补全引导地址防启动失败
1、搜索network.trr.bootstrapAddress；若不存在，右键→新建→字符串→名称填此项→值填对应IP，如阿里DoH用223.5.5.5。
2、【缺少这一步可能导致首次启动时因无法解析DoH域名而直接降级为明文DNS】。
3、关闭 about:config 标签页，重启火狐浏览器使全部参数立即加载。
让内网域名绕过DoH直连本地DNS
启用DoH后，intranet.company、gitlab.internal这类内网域名会解析失败，因为火狐不再读取系统hosts或发UDP 53给路由器。
第一步：地址栏输入about:config→ 接受风险。
第二步：搜索network.trr.excluded-domains；若未出现，右键→新建→字符串→名称填此项。
第三步：双击该项，填入逗号分隔的纯域名：intranet.company,gitlab.internal,printer.lan——不带http://、不加尾点、不写通配符。
验证DoH是否真实生效
配置完成后必须验证，因为部分网络环境会通过拦截443端口或伪造证书等方式干扰DoH连接，导致看似启用实则降级。
1、在新标签页中访问about:networking#dns。
2、查看TRR Status行，状态应显示为active。
3、在下方DNS Queries表格中，观察Recent Queries列表中的Protocol列，确认多数条目显示为HTTPS而非UDP。
