一片红，我直接下了结论

报告上几个节点标红，我立刻在群里说「域名被污染了」，建议换域名。

后来查权威记录，发现是我们自己改了记录没生效。红点是缓存，不是污染，一份报告不足以支撑那个结论。那次换域名的建议，被我自己撤回了。三样东西，其实对应三个问题：答案对不对、是不是持续、有没有影响。

单次报告缺什么

缺时间维度：那一刻的红，不代表持续红。

缺来源对照：只看递归结果，没看权威。

缺影响验证：用户到底有没有受影响，没有测。

这三点不补，结论只能停在「观察到异常」。

DNS 污染检测：异常解析地址与地区分布

DNS 污染检测：异常解析地址与地区分布

补第一类：权威记录

直接查权威 NS，拿到标准答案，查的时候指定权威服务器，别走递归。

和检测结果对比：权威对、递归错，是解析链路问题；两边都错，是记录本身的问题。

这一步能排除掉很大一部分误判。

补第二类：时间序列

同一域名隔一段时间再测，看异常是否稳定，时段也要记录，高峰期和凌晨可能不一样。

用宝塔拨测的 DNS 污染检测多跑几轮，记录每次的地区分布和返回值。

稳定复现才值得行动，偶发一次先放一放。

补第三类：真实影响

从异常地区的节点访问站点，最好用真实用户所在的地区，看能不能打开、打开的是什么。

如果访问正常，那异常答案可能只影响部分递归，没影响到业务。

有影响，才谈得上紧急处置。

证据对齐、判断与复测

三份证据的时间、地区、返回值要能对上。

对不上，说明中间有变化，得重新取样。取样时保持输入一致，域名、记录类型、DNS 都要固定，不然差异来源说不清。

三样都齐：权威正确、异常稳定、影响可测，才算证据够用。一条异常不值钱，一组能互相对上的证据才值钱，这是排查和猜的分界线。平台、运营商、权威，三方的说法都可能不同，别只挑支持自己观点的那个，那叫确认偏误，很常见。

不够就先写「疑似」，别写「确认」。报告里附上原始返回，别只给一个结论，别人能复核，结论才有分量。如果证据补不齐，就先观察，观察也是处置的一种。急着动手，容易把小问题搞大，尤其是换域名这种不可逆操作。先验证，再决定，这个习惯能保命，至少能保住预算，也能保住信誉。

处理后继续观察，看异常是否消失。

记录完整，交接时别人能看懂。

证据不足时的克制，比抢着下结论更专业。报告不是表演，是决策依据，这一点，值得反复提醒自己。