必须启用DNS over HTTPS（DoH）加密解析：一、图形界面勾选“启用DNS over HTTPS”并选“增强保护”，自定义填入https://dns.alidns.com/dns-query；二、about:config设network.trr.mode=2、network.trr.uri为该地址、network.trr.bootstrapAddress=223.5.5.5；三、访问about:networking#dns确认TRR状态active且Protocol显示HTTPS。
要防止火狐浏览器在访问网站时被运营商或局域网设备篡改DNS解析结果，必须将明文UDP 53端口的域名查询强制转为加密HTTPS通道发送，彻底封堵DNS劫持路径。
图形界面一键启用（推荐大多数用户）
这一步操作起来很简单，直接在设置页勾选即可，火狐会自动探测服务可用性并内置降级逻辑，网页不会因DoH临时失效而打不开。
1、在地址栏输入 about:preferences#privacy 并回车，进入隐私与安全设置页。
2、向下滚动至“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。
3、在“保护级别”下拉菜单中选择【增强保护】——该模式强制优先使用你指定的DoH服务，仅在其完全无响应时才回退到系统DNS，避免静默劫持。
4、点击“使用以下提供程序”旁的“自定义”按钮，在弹出框中粘贴国内稳定地址：https://dns.alidns.com/dns-query 或 https://doh.pub/dns-query。
5、点击“保存更改”，状态显示“成功”后即可关闭页面。新标签页的DNS查询已默认加密。
about:config强制锁定参数（应对配置失效或企业网络）
当图形界面设置后仍被降级为明文DNS，或你必须确保浏览器绝不使用本地DNS时，需绕过UI直接修改底层参数。缺少关键字段会导致首次启动时无法解析DoH域名，直接降级。
方法一：基础强制启用
1、地址栏输入 about:config → 回车 → 点击“接受风险并继续”。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
2、搜索 network.trr.mode，双击将其值设为【2】（表示始终使用TRR，失败才回退）。
3、搜索 network.trr.uri，双击编辑，填入DoH地址，例如：https://dns.alidns.com/dns-query。
方法二：补全引导地址防启动失败
1、搜索 network.trr.bootstrapAddress，若不存在则右键→新建→字符串→名称填此项→值填 223.5.5.5——这是阿里云DNS的已知IPv4地址，【缺少这一步可能导致首次启动时因无法解析DoH域名而降级为明文DNS】。
2、关闭 about:config 标签页，重启火狐浏览器使全部参数立即加载。
验证DoH是否真实生效
配置完成后必须验证，因为部分网络环境会通过拦截443端口或伪造证书等方式干扰DoH连接，导致看似启用实则降级。
第一步：在新标签页中访问 about:networking#dns。
第二步：查看TRR (Trusted Recursive Resolver) Status行，状态应显示为 active。
第三步：在下方DNS Queries表格中，观察Recent Queries列表中的Protocol列，确认多数条目显示为 HTTPS 而非 UDP。
