taobao.com是一级域名，因其满足“左侧为合法注册主体（taobao）、右侧为真实顶级域（.com）”且不可再右缩；通过WHOIS查询Registrant Name或DNS NS记录可确认其归属阿里集团。
当你拿到一个像 api.pay.example.com 或 shop.b2c.taobao.com 这样的地址，需要立刻判断它归属哪个一级域名（也就是谁真正拥有并管理这个子域），不能靠猜、不能看品牌名、不能只数点——因为三级、四级域名会干扰判断，而真实管理权永远落在最右侧那个可注册的完整域名上。
从右往左找第一个可注册的完整域名
第一步：把域名从右往左拆，每遇到一个英文点（.）就切一次，得到候选片段。
第二步：逐个检查这些片段是否符合一级域名结构——必须同时满足两个条件：【左侧是合法注册主体名（非空、不含通配符*、不以-开头或结尾）、右侧是真实存在的顶级域（如 .com/.cn/.org/.xyz 等）】。
第三步：取满足条件的最短右段。例如 shop.b2c.taobao.com → 拆出 com → taobao.com → b2c.taobao.com → shop.b2c.taobao.com；其中 com 不是一级域名（缺注册主体），taobao.com 同时含合法主体（taobao）和真实顶级域（.com），且不能再往右缩，所以 taobao.com 就是一级域名。
这一步不能跳过验证。像 example.github.io 中的 github.io 是一级域名（.io 是真实顶级域，github 是注册主体），但 example.vercel.app 中的 vercel.app 才是一级域名（.app 是 ICANN 认证顶级域），而 vercel 不是——它只是二级域名的一部分。
用 WHOIS 反查注册信息确认归属
方法一：直接访问 https://whois.icann.org，输入你刚识别出的一级域名（如 taobao.com），点击查询。
方法二：命令行执行 whois taobao.com（Linux/macOS）或下载 whois 工具（Windows），查看 Registrar 字段值。
如果返回结果中 Registrant Name 显示“Alibaba Group Holding Limited”，就坐实了 taobao.com 的一级域名身份和实际持有者。注意：WHOIS 查询结果可能被隐私保护屏蔽，此时需结合 DNS 权威服务器信息交叉验证。
查 DNS 权威服务器反推管理主体
执行 dig taobao.com NS +short 或 nslookup -type=NS taobao.com。
返回类似 dns10.hichina.com、dns9.hichina.com 的结果，说明该一级域名由阿里云（万网）DNS 托管；若返回 ns-cloud-c1.googledomains.com，则大概率托管在 Google Domains。
这个步骤能绕过 WHOIS 隐私保护。只要 NS 记录真实存在且可解析，就证明该一级域名正在被主动管理——【二级域名不可能拥有独立的 NS 记录，它的 DNS 解析完全继承自一级域名】。
警惕常见误判陷阱
不要看到 www 就以为是一级域名——www.baidu.com 的一级域名是 baidu.com，不是 www。
不要把 CDN 域名当一级域名——cdn.example.netlify.app 的一级域名是 netlify.app，不是 example.netlify.app（后者根本不可注册）。
不要依赖浏览器地址栏显示——有些网站用 URL 重写隐藏真实一级域名，比如访问 https://support.apple.com 实际指向 apple.com 的子域，但一级域名仍是 apple.com。
遇到泛域名（*.example.com）记录时，必须回到 example.com 查 WHOIS 和 NS，泛域名本身不改变一级域名归属。
