浏览器默认开启 DoH 之后，传统基于明文 DNS 的审计与过滤方案集体失效。这篇文章把收益和代价摊开讲。

隐私收益

DoH 防住的是链路上的窃听与篡改，也就是本地网络里的 DNS 劫持和画像。但它没有隐藏你要访问的目标 IP 和 SNI。

工程代价

DNS 缓存层级被打平到浏览器内部，内网域名解析可能绕过组织自己的 DNS；故障排查时少了明文 DNS 这个观测点。

建议

个人设备建议开启；组织环境需要配套内网域名例外列表与出口策略，再考虑灰度启用。