DNSSEC通过私钥签名记录、公钥验证及信任链保障DNS真实性与完整性，虽获顶级域广泛支持，但全球最大网站部署率极低：2016年排名前25网站均未支持DNSSEC，现状未变。研究发现，CDN广泛采用基于DNS的动态映射系统，利用客户端解析器IP或EDNS-Client-Subnet前缀将请求重定向至就近边缘服务器，这种动态生成响应的机制与DNSSEC要求的静态预签名记录存在根本冲突，导致CDN难以部署DNSSEC。部分CDN改用任播路由简化调度。
原文: APNIC Blog（2020-01-31）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog