子域指向核查是查什么
很多子域用 CNAME 指向第三方资源：对象存储、云函数、SaaS 页面、CDN 回源域名。当这些第三方资源被注销或删除、DNS 记录却还留着，指向就悬空了，任何能注册同一资源名的人都可接管该子域内容。核查只做只读判断：确认某个子域是否指向已被释放的第三方资源，记录并提醒客户清理解析。绝对不自行注册资源去验证接管。
基本信息
| 现象 | CNAME 指向的第三方资源已不存在或已释放 |
|---|---|
| 常见来源 | 对象存储桶、云函数、CDN 源、SaaS 站点、包托管服务 |
| 验证方式 | 只读核对解析链与资源状态，不创建任何资源 |
| 输出 | 子域清单、指向目标、当前状态、清理建议 |
典型使用场景
- 资产梳理时把全部子域过一遍 CNAME，找出悬空指向
- 互联网业务下线后复核：域名解析是否同步清理
- 解释「某个子域返回第三方错误页」这类现象
- 向客户提出解析治理建议：登记 CNAME 必须与资源生命周期绑定
- 品牌保护评估中识别可被第三方内容占用的子域
核查步骤
核查步骤
dig +short app.example.com CNAME # 提取 CNAME 链，逐跳记录
dig +short app.example.com A # 看最终解析结果是否存在
curl -sI https://app.example.com/ | head -5 # 观察返回的错误信息类型
# 第三方错误页（如 NoSuchBucket、404 Not Found: bucket）通常意味着资源已释放
# 记录：子域、CNAME 目标、错误特征；只记录不注册，不尝试占用现象与判断
| 现象 | 可能含义 | 处置 |
|---|---|---|
| CNAME 指向的域名无法解析 | 目标资源已删除 | 记录并建议清理解析 |
| 返回第三方资源不存在的错误页 | 资源已释放，接管风险成立 | 列入报告，提示优先清理 |
| CNAME 指向客户另建的 CNAME | 链路过长或遗留配置 | 建议收敛为直接指向 |
| 解析正常返回业务内容 | 指向有效 | 无需处置，记录已核查 |
核查止于确认解析状态：注册同名资源去证明接管可行，等于实际占用了客户子域，性质是越界操作。
第三方服务的错误页文案会随平台变化，判断前先确认该文案确实来自目标平台，避免把正常服务的临时故障当成可接管。