泛解析是一把双刃剑
泛解析用星号主机记录承接所有未单独定义的主机名，配置一条就能支持无限子域，适合批量子域、多租户域与预览环境。风险同样明确：任意子域都能解析成功，攻击者可以枚举出不存在的子域用于钓鱼或绕过检测，域名的可信边界被放大。启用前应做一次安全影响评估。
基本信息
| 记录形态 | 主机记录填星号，记录值按目标配置 |
|---|---|
| 适用场景 | 批量子域、多租户域、预览与测试域 |
| 优先级 | 显式存在的子域记录优先于泛解析记录 |
| 主要风险 | 子域被枚举与滥用，钓鱼与扫描面扩大 |
| 替代方案 | 改为显式枚举必要子域，范围可控 |
典型使用场景
- SaaS 为每个租户分配独立子域，避免逐条添加记录
- 开发与预览环境按分支生成子域，用完即弃
- CDN 侧多域名接入时用泛域名统一收敛
- 批量业务域名统一指向同一入口
- 临时活动子域快速上线，活动结束后统一回收
验证泛解析命中
验证泛解析命中
dig +short whatever-random-check.example.com # 随机不存在的子域是否会解析成功
dig +short real-sub.example.com # 对比显式子域记录的结果
# 若随机子域也返回地址，说明泛解析已生效，需评估安全影响启用前的评估项
| 评估项 | 为什么重要 | 建议做法 |
|---|---|---|
| 证书范围 | 泛域名证书覆盖所有子域 | 确认续期与私钥保管 |
| 安全影响 | 子域可被用于钓鱼 | 做一次安全评审 |
| 缓存与解析 | 泛解析结果被广泛缓存 | 切换前调低 TTL |
| 合规要求 | 部分行业对子域管理有要求 | 保留子域登记台账 |
泛解析与泛域名证书组合使用会放大影响面；对外业务启用前建议做一次安全评审，并保留子域登记与回收机制。
显式子域记录优先于泛解析记录，因此可以在保留泛解析的同时为关键子域单独指定目标，但要在台账中记录例外项。