DoH

用小火箭（Shadowrocket）的人很多，但 DNS 设置这块经常被随手一填：8.8.8.8、1.1.1.1，完事。问题是，默认的 DNS 查询是明文的——你访问了哪些域名，运营商和中间节点看得一清二楚，代理开得再稳也白搭。想堵住这个口子，得把 DNS 换成 DoH（DNS over HTTPS），让查询走加密通道。