二级域名子域名查询；从属关系常被弄反

输入框里敲进去的那串字符，从右往左看才是它的层级。com 在最右边，顶在上头；往左一格 example.com 是你花钱注册下来的那一个；再往左的 www、blog、api，才轮到大家嘴里说的二级域名。二级域名子域名查询这活儿，多数时候不是工具不会用，是这条从属链在脑子里摆反了方向——把 www.example.com 当成 example.com 的上层，后面怎么查都别扭。

二级域名子域名查询，查的到底是哪一层

example.com 是你注册的那个，注册商记录、whois、备案主体全挂在它身上。blog.example.com 无非是在它前面加了一段主机记录，是它的下级。教科书上管前面带主机记录的叫三级域，「二级域名」是口语叫法，日常沟通都这么用，没必要纠正别人。真正要留个心的是：拿 whois 去查 blog.example.com，返回的多半是主域的信息，或者干脆没有——不是工具坏了，是它压根没单独注册过，没人给它单独立账。

见过有人拿着一个子域去注册商后台翻半天，找不到管理入口，怀疑域名被人动了手脚。后来一问，他要管的是 shop.example.com，注册商当然不管这个，他该改的是主域那边那条解析记录，或者去服务器上把站点绑好。方向一错，找谁都白搭。

中文习惯和工具字段对不上，别跟界面较劲

同一个 example.com，有的面板标「顶级域」，有的标「一级域」，还有的干脆叫「主域」。com 在这些说法里叫后缀，example.com 叫二级域，按这个体系推下去，你在前面加主机记录得到的其实是三级域，可日常没人这么说话，都喊二级域名。所以沟通前先把口径定下来：主域就是 example.com，二级域名或者子域名就是它前面带前缀的那些。跟客服描述问题、跟同事交接、在面板的绑定框里填内容，都按这个来。绑定框里该填主域还是子域，差一步就白忙一场。

二级域名子域名查询常用的几种查法

命令行最直接。dig blog.example.com A 看 A 记录，nslookup blog.example.com 8.8.8.8 换个公共 DNS 验证两边结果是否一致，host -t A blog.example.com 图个输出短。想知道它是不是挂到别家去了，查别名：dig blog.example.com CNAME +short，返回的如果是个 CDN 域名或者对象存储的地址，那它就是个别名记录，A 记录由对方给，IP 飘来飘去属于正常现象，不是解析坏了。

再加一层，dig +trace blog.example.com。这条命令从根服务器开始，把每一级委派都打在屏幕上：先 . 再 com 再 example.com 最后落到 blog 那一条。谁属于谁、链子断在哪一节，一目了然，比某些图形工具还直观。证书透明日志那类查询（crt.sh 这种）能翻出历史上给这个主域签过证书的子域名单，做资产盘点很省事，前提是只查自己有权查的域名。

泛解析一开，随便敲个乱码都「查得到」

*.example.com 这条记录一配上，任意前缀都返回同一个 IP。这时候拿字典去跑子域枚举，能跑出成千上万个「存在」的子域，全是假的。怎么验证：随手敲一个几乎不可能有人用的前缀，比如 thisnotexist123.example.com，有返回就说明泛解析开着，把所有结果减掉这一类再看。另外 nslookup 默认只问 A 记录，域名只配了 AAAA 或者只做了 CNAME，它照样告诉你查不到，别急着断言子域不存在，换个记录类型再问一次。

从属关系弄反了，这几个地方会连环出问题

证书是最容易翻车的一处：只给 www.example.com 签了证书，用户直接敲 example.com 就弹不安全提示；反过来只用裸域签，带 www 的链接点进去一样报错。Cookie 想让子域共享，得把作用域设到 .example.com，方向是从主域往子域覆盖，反着来读不到。这些毛病单看每个都不大，凑到一起就是那种「网站一会儿能开一会儿不能开」的玄学。

CDN 和对象存储那边，主域跟子域一般是两套配置两张证书，加速域名填串了，表现是页面能出来但样式全丢。备案这块，通常主域备案后子域跟着用，是否要单独登记得看接入服务商和管局的口径，以官方页面说明为准。SEO 角度，搜索引擎把子域当相对独立的站点对待，两个子域放一模一样的内容，容易自己跟自己抢。

一个主域挂几十个子域，账要怎么记

子域一多，光靠脑子记迟早出事。列张表，一行一个子域，字段就写这几样：用途、解析类型、指向哪里、证书到期时间、谁负责。看着麻烦，出问题时救命——尤其是那种半年前临时开的测试子域，忘了删，解析还指着台早下线的机器，用户点进来就是个超时页。

真要动手，按这个顺序捋一遍

先 whois 主域，确认注册状态和 DNS 服务器在哪家；再 dig 目标子域的 A 和 CNAME，分清是直连还是别名；接着 +trace 看委派链路断在哪一层；证书日志补一遍历史上出现过的子域；最后拿乱码前缀试泛解析，把假结果剔掉。顺序别乱，先有主域的准确状态，后面每一步才站得住。

还有一条：同一条记录在不同解析器上结果不一样是常事，本地运营商缓存、公共 DNS、权威服务器三边对不上，多换两个再下判断。查完把结论抄进那张表里，下次谁再问这个子域归谁管，直接把表甩给他。