传统 DNS 查询长期以明文在网络上传输，路径上的设备和网络都能看得到、改得了。DoT 与 DoH 把客户端到解析器这一段装进加密通道，Android 的私有 DNS 与主流浏览器的安全 DNS 都是它的落地形态。本文讲清这条加密隧道挡住的三类风险，以及它管不到的解析器信任、内容真实性和查询内容推断三个边界。