必须通过图形界面启用增强保护并自定义DoH地址，或在about:config中设network.trr.mode=2、network.trr.uri为https://doh.pub/dns-query、network.trr.bootstrapAddress=223.5.5.5，再访问about:networking#dns确认TRR状态active且Protocol为HTTPS。
要在火狐浏览器中开启DNS-over-HTTPS加密解析，必须让所有域名查询请求不再走明文UDP 53端口，而是通过TLS加密的HTTPS连接发送到可信DNS服务器，从而杜绝运营商劫持、公共Wi-Fi监听和局域网DNS污染——这是当前绕过本地DNS污染最直接有效的手段。
通过隐私与安全设置启用增强保护模式
1、在地址栏输入 about:preferences#privacy 并回车，进入隐私与安全设置页。
2、向下滚动至“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。
3、在“保护级别”下拉菜单中选择【增强保护】——该模式强制优先使用你指定的DoH服务，仅在其完全无响应时才回退到系统DNS，避免静默劫持。
4、点击“使用以下提供程序”旁的“自定义”按钮，在弹出框中粘贴国内稳定地址：https://doh.pub/dns-query 或 https://dns.alidns.com/dns-query。
5、点击“保存更改”，状态显示“成功”后即可关闭页面。新标签页的DNS查询已默认加密。
通过about:config强制锁定DoH参数
当图形界面配置未生效、企业网络屏蔽了DoH协商逻辑，或你必须确保浏览器绝不使用本地DNS时，需绕过UI直接修改底层参数。
方法一：基础强制启用
1、地址栏输入 about:config → 回车 → 点击“接受风险并继续”。
2、搜索 network.trr.mode，双击将其值设为 【2】（表示始终使用TRR，失败才回退）。
3、搜索 network.trr.uri，双击编辑，填入完整DoH地址：https://doh.pub/dns-query。
方法二：补全引导地址防启动失败
1、继续搜索 network.trr.bootstrapAddress，双击编辑，填入对应DoH服务的IP地址，例如doh.pub的IP是 【223.5.5.5】。
【缺少这一步可能导致首次启动时因无法解析DoH域名而降级为明文DNS】
2、关闭 about:config 标签页，重启火狐浏览器使全部参数生效。
验证DoH是否真实运行
第一步：访问 about:networking#dns。
第二步：查看 TRR Status 行，确认状态为 【active】。
第三步：在下方 DNS Queries 表格中，观察 Recent Queries 列表里的 Protocol 字段，确认多数条目显示为 HTTPS 而非 UDP。
