无 glue 记录的 DNS 委托是否需要启用 DNSSEC？

你的初步结论存在漏洞，这个子查询建议启用DNSSEC验证，核心风险点如下：

• 拒绝服务（DoS）风险：攻击者返回虚假NS IP后，你的递归解析器会持续向该无效IP发送查询请求，消耗自身带宽、CPU等资源，严重时会导致解析服务不可用。即便最终主查询因无法匹配DS记录失败，但DoS的损害已经造成。

• 缓存污染风险：虚假NS IP对应的恶意服务器可能返回伪造的记录，这些错误记录会被解析器缓存，影响后续对该NS域名的所有相关查询，扩大攻击影响范围。

• 解析流程干扰风险：攻击者控制的虚假IP服务器可以通过延迟响应、伪造中间应答等手段，干扰正常解析时序，甚至诱导解析器暂时绕过部分安全校验，为后续攻击创造条件。

补充说明：父域的DS记录确实能保障最终主查询的真实性，但DNSSEC的安全模型是覆盖整个解析链的，每个环节的验证都不可或缺。跳过NS IP子查询的DNSSEC验证，等于给攻击者留下了利用中间环节发起攻击的入口，不符合DNSSEC端到端安全的设计初衷。

内容的提问来源于stack exchange，提问作者Golden King