[mel0nyrame]

背景

DNS 检测页在本机（透明代理 fake-ip 劫持环境）恒显示「未检测到 DNS 解析器出口 IP」，而 ip.net.coffee/dns 网页端总能检测到。诊断结论与完整证据见 #8：裸 DNS 查询（UDP/TCP 53）被路径上的劫持设备本地应答（应答落在 198.18/15）而从不递归，权威 NS 收不到记录，回读恒空；上游「空列表 = 已加密」的前提是浏览器必然真实建连，对裸 DNS 查询不成立。

变更轮廓

触发原语替换（三态判定规则不变）：

 run_dns_leak 每轮触发
-  hickory 系统 resolver → UDP 53 A/AAAA 查询 <token>-<n>.d.ip.net.coffee（应答被丢弃）
+  reqwest → GET https://<token>-<n>.d.ip.net.coffee/pixel.gif（8s，任意状态码即触发成功）

回读分类（新增 classify_readback 纯函数）：

 回读为空时
-  一律判「已加密（DoH/DoT）」
+  触发请求全部失败 → 探测失败：「未能触发 DNS 解析」
+  有请求完成但无记录 → 已加密/未暴露（上游规则不变）

• DNS 页不再读取系统 resolver 配置，原「无法读取系统 resolver 配置」失败分支随之移除；WebRTC 页解析 STUN 地址仍使用系统 resolver，不受影响。
• 接口报告 §2.7 触发建议与 §3.6 LinkLens 采用值同步更新；CI test 作业补齐真实网络冒烟入口（probe_leak --ignored，三平台执行）。

验证

检查	对象	结果
cargo fmt --check、cargo clippy --locked --all-targets -- -D warnings	全仓	通过
cargo test --offline --lib	269 个单元测试	通过（含新增 probe_url_matches_official_pattern、classify_readback_distinguishes_failed_triggers_from_encrypted）
cargo test --locked --lib probe_leak -- --ignored	真实网络冒烟	在本机（fake-ip 劫持现场）通过：修复前同环境回读恒空，修复后全流程走通并给出三态结论
诊断回路脚本（issue #8 证据表）	上游接口	HTTP 触发回读 12 个解析器出口；DoH 直查同型 token 亦回读非空——裸查询原语有效，坏在劫持路径

真实网络结果受运行环境影响；CI runner 无劫持环境，本机才是该 bug 的原始现场，故冒烟在本地已按真实环境执行，CI 侧作为常规入口保留。

风险与回滚

• 每轮触发多一次 TLS 建连（快速 5 轮/深度 8 轮、间隔 600ms），开销可忽略；触发语义与上游浏览器完全一致。
• 「已加密」结论收紧为「有请求成功建连后仍无解析器记录」；极端环境（如代理对探测域 REJECT）落入「探测失败」而非静默假阴性。
• 回滚：revert 单提交即可，无持久化数据与格式变更。

Ref: #8