教育数字化知识图谱

DoH（RFC 8484）与DoT（RFC 7858）让终端可加密解析并绕过校内解析器，形成安全管控盲区——浏览器默认启用DoH后，策略过滤与审计可能全部失效。治理手段有四：阻断已知的公共DoH端点；利用canary域名（use-application-dns.net）机制控制浏览器回落到系统解析器；通过终端策略强制指定解析器；或建设企业自有DoH服务，把加密与可管控统一起来。