摘要

  • HTTPS DNS 记录公布连接指令，但不执行连接测试。
  • 客户端能否使用某条记录，取决于优先级、可理解参数、解析结果和自身能力。
  • 地址提示、ALPN 宣告和回退后的页面成功，是三类不同证据。
  • 端点就绪证据记录必须把观察到的 RRset 与各关键客户端群体的认证后应用结果连接起来。

设想一个发布面板：新的 HTTPS 记录一进入 DNS，状态就变绿。记录宣告 HTTP/3，并给出一项 IPv6 地址提示。普通浏览器探针仍能打开网页，于是迁移被标记为完成。然而，一个移动接入群体的 HTTP/3 尝试全部失败。页面之所以可见，只因客户端回退到原端点上的 HTTP/2。

这里 DNS 记录并没有说谎。错误在于把“已经公布”写成“已经交付”。

RFC 9460 定义 SVCB 和 HTTPS 资源记录，让客户端在建立常规连接前获取替代端点与连接参数。它可以减少往返、支持直接连接 HTTP/3、指定非默认端口，并把相关参数绑定在同一记录内。这是有价值的控制面信息，不是一笔合成交易。

记录的内部结构会改变选择。SvcPriority 为零表示 AliasMode，即把服务解析委托给另一个名称；非零则表示 ServiceMode，把 TargetName 与一组服务参数绑定。数值较小者优先，但同一优先级的记录会随机排序。只保存“存在 HTTPS RR”，既没有保留客户端可用的候选，也没有保留实际选择和原因。

兼容性又划出一条边界。mandatory 参数列出客户端必须理解的键；有一个不认识，这条记录对该客户端就不可用。alpn 宣告应用协议，而 no-default-alpn 可以删除 URI 方案通常隐含的默认协议。因此，同一个完全合规的 RRset，在不同浏览器版本、操作系统、网络库或受管设备策略下，会形成不同的可用集合。

ipv4hint 与 ipv6hint 更容易被过度解释。它们允许客户端乐观地提前尝试。RFC 9460 指出，若本地已有 A 或 AAAA 记录，客户端应优先使用这些记录；否则应查询 TargetName，并在后续连接中使用查询所得地址。提示不证明存在路由，不证明 UDP 被放行，不证明 NAT 或防火墙保持数据流，也不证明目的端正在接受所宣告的协议。它只说“可以从这里尝试”，不是数据包送达证明。

TLS 的身份认证边界同样没有消失。通过 SVCB 设置别名，不会改变必须认证的原始服务名。客户端仍要为原始服务名验证证书。因此 DNS 答案可以存在、格式正确且被理解，而目标端点仍可能因证书、SNI 或 TLS 握手失败。

对 HTTP/3 来说，RFC 9114 把应用协议放在 QUIC 之上，QUIC 则由 RFC 9000 定义。DNS 之后还有 QUIC 建连、TLS 认证、HTTP/3 设置交换与应用响应。每一次状态转换都可能单独失败。把它们压成一个“HTTP/3 已开启”的布尔值，会删除定位故障所需的证据。

回退机制尤其容易掩盖问题。RFC 9460 规定了拒绝畸形或不兼容记录并返回非 SVCB 建连的场景。用户请求可以成功，即使替代端点从未被尝试，或已经失败。这对可用性很重要，却不是替代端点通过验收的证明。

反过来，一次失败也不能证明记录在所有地方都有问题。客户端可能不支持所宣告的 ALPN，可能看到解析器特定的答案，可能在同优先级目标中选了另一个，可能经过代理、遭遇本地 UDP 阻断，或持有旧 DNS 缓存。端点就绪是一个按群体限定的主张，不能从单台设备推成普遍事实。

端点就绪证据记录首先要写清查询与观察点：服务名、解析器、网络、客户端构建、地点和时间。它应保存完整 HTTPS RRset、DNS 验证结果、TTL 与缓存年龄；选中的优先级、目标与已理解参数；所有已解析或被提示的地址；以及每条记录被接受、跳过或拒绝的原因。

随后记录执行链：尝试的地址、协议和端口；QUIC 或 TCP 结果；协商出的 ALPN；证书名称与验证结果；HTTP 状态和表示指纹；是否发生回退。最后写入客户端群体、耗时、终态结果，以及有权宣布就绪的组件。

这样，“观察到 HTTPS RR”只表示解析器返回过记录；“选中替代端点”表示客户端接受一条 ServiceMode 选择；“HTTP/3 已连接”表示 QUIC、TLS 与 HTTP/3 建立完成；“服务已交付”则表示目标应用交易成功。它们可以在同一时间线上展示，但前一项不能自动生成后一项。

这种分离也让处置更准确。记录被忽略，应查兼容性和 mandatory 键；地址可解析但 QUIC 失败，应查路径与传输策略；TLS 失败，应查源站身份认证和部署；只有回退成功，则应保持服务可用，同时暂缓替代端点验收。

在正确边界内，HTTPS 记录是有用证据：它说明观察点看到了什么服务绑定。端点就绪要等到被识别的客户端真正沿绑定连接，并返回认证后的应用结果。

来源

RFC 9460 — SVCB 与 HTTPS 资源记录; RFC 9114 — HTTP/3; RFC 9000 — QUIC.