有人把 DNSSEC 当成钓鱼终结者，有人干脆关掉它图省事。两者都偏了：它用密码学签名解决“解析结果有没有被篡改”，但不加密、不验内容、不防仿冒域名。本文讲清它和加密 DNS 的分工与真实边界。