火狐浏览器中如何开启DNS over HTTPS以增强访问安全性？

要在火狐浏览器中开启DNS over HTTPS，其实就三步。第一步，在隐私与安全设置中启用增强保护，并填入国内可用的DoH地址；第二步，通过about:config强制锁定几个关键参数；第三步，访问诊断页确认是否真的生效。下面，我们一步步来拆解。不过，在动手之前，先得搞清楚一个核心问题：为什么要把DNS查询从明文变成加密？

原因很简单：传统的DNS查询走的是UDP 53端口，数据完全是明文传输。这就意味着，你的运营商可以随意劫持、公共Wi-Fi上的黑客可以窃听、局域网内的设备可以污染DNS缓存。一旦开启DoH，所有查询都会被加密成HTTPS流量，彻底封死这些漏洞。所以，这不仅仅是一个技术选项，更是一个安全底线。

通过隐私与安全设置启用增强保护模式

对于大多数桌面用户来说，图形界面操作是最直观的。而且它自带服务可用性探测与自动降级机制，即便DoH临时不可用，也不会导致网页打不开。

具体操作如下：首先，在地址栏输入about:preferences#privacy并回车，进入隐私与安全设置页。然后向下滚动，找到“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。接着，在“保护级别”下拉菜单中，务必选择【增强保护】——这个模式会强制优先使用你指定的DoH服务，只有在它完全无响应时才会回退到系统DNS，从而避免静默劫持。之后，点击“使用以下提供程序”旁边的“自定义”按钮，在弹出框中粘贴国内稳定地址：https://doh.pub/dns-query或https://dns.alidns.com/dns-query。最后，点击“保存更改”，看到状态显示“成功”后即可关闭页面。完成之后，新标签页的DNS查询就已经默认加密了。

通过about:config强制锁定DoH参数

如果你的图形界面配置没生效，或者企业网络屏蔽了DoH协商逻辑，又或者你希望绝对确保浏览器不碰本地DNS，那就需要直接修改底层参数了。下面是两种方法，可以组合使用。

方法一：基础强制启用

1. 地址栏输入about:config，回车后点击“接受风险并继续”。

2. 搜索network.trr.mode，双击将其值设为2（表示始终使用TRR，失败才回退）。

3. 搜索network.trr.uri，双击编辑，填入完整DoH地址：https://dns.alidns.com/dns-query。

方法二：补充IP直连防解析失败

1. 继续搜索network.trr.bootstrapAddress，双击编辑，填入对应DoH服务的IP地址，例如阿里云DNS的223.5.5.5。

【注意】若不填bootstrapAddress，首次启动时可能因无法解析DoH域名而卡住，导致DoH实际未启用。

2. 关闭about:config标签页，重启火狐浏览器使全部参数生效。

验证DoH是否真实运行

这一步千万别跳过，因为图形界面勾选并不等于实际生效——系统策略、组策略或者网络中间设备都可能把设置覆盖掉。

第一步：访问诊断页

在新标签页中打开about:networking#dns。

第二步：确认关键状态

查看“TRR Status”行，状态必须显示【active】；再看下方“DNS Queries”表格中“Protocol”列，多数条目应显示【HTTPS】而非UDP。只有这两个指标都符合，才说明DoH已真正跑起来了。