DNSSEC 通过数字签名机制解决 DNS 的根本缺陷：传统 DNS 应答没有完整性校验，中间人可以伪造应答把用户引向恶意地址（缓存投毒）。启用 DNSSEC 后，区域会为每条记录生成 RRSIG 签名，解析器沿信任链验证签名，验证通过才会在应答头部设置 AD 标志。