在开发环境里访问 `api.test.example`，浏览器打开的却是本机启动的服务。用 `nslookup` 查询这个域名，得到的又可能是互联网上的正式地址。再换一台电脑访问，同一个域名指向的服务器仍然与本机不同。

这种看起来有些矛盾的现象，往往与本地 `hosts` 文件有关。

`hosts` 文件是一份保存在操作系统本地的静态主机名映射表。它把某个主机名直接关联到一个或多个 `IP` 地址，让应用程序在建立网络连接之前，可以从本机获得地址，而不必完全依赖外部 `DNS` 服务器。

用一句简洁的话概括，`hosts` 文件的作用就是在本机保存主机名与 `IP` 地址之间的静态对应关系，并参与操作系统的名称解析过程。

Linux 手册把 `/etc/hosts` 定义为静态主机名查询表，并说明文件中的基本关系是 `IP` 地址、规范主机名以及可选别名。现代网络虽然主要依靠 `DNS`，但 `hosts` 仍被用于系统启动、隔离网络、小规模网络和本地名称配置。[Linux hosts 手册](https://man7.org/linux/man-pages/man5/hosts.5.html)

## 从域名到网络连接，中间发生了什么

浏览器地址栏中输入的是容易记忆的名称，例如 `www.example.com`。网络层真正需要的却不是这个字符串，而是目标主机的 `IP` 地址。只有得到地址，操作系统才能选择路由、构造 `IP` 数据包，并通过 `TCP`、`UDP` 或其他传输协议与目标建立通信。

从应用程序视角看，大致过程是这样的。应用程序把主机名交给系统的名称解析接口，系统解析器按照当前平台的配置查找地址。查找来源可能包括应用缓存、操作系统缓存、本地 `hosts` 文件、企业名称服务、局域网名称发现机制以及 `DNS`。只要某个来源成功给出结果，后续网络连接就可以使用这个地址继续进行。

互联网中的 `DNS` 常被比作分布式电话簿，它负责把便于人类阅读的域名转换为计算机通信所需的地址。解析过程中还可能涉及递归解析器、根名称服务器、顶级域名称服务器和权威名称服务器。[Cloudflare 的 DNS 原理说明](https://www.cloudflare.com/learning/dns/what-is-dns/)

`hosts` 与 `DNS` 解决的是相似问题，却采用了完全不同的管理方式。

`DNS` 是网络化、分布式、可集中维护的名称系统。域名管理员修改权威记录后，世界各地的递归解析器会根据缓存时间逐步获得新结果。

`hosts` 是单机上的普通文本文件。修改本机文件，只会改变本机或特定运行环境的解析结果，不会修改公共 `DNS`，不会通知其他电脑，也不会改变域名注册信息。

因此，把某个域名写进 `hosts`，并不是修改了这个域名，而是在本机的名称解析过程中插入了一条静态答案。

假定本机存在下面的记录。

```text
192.0.2.20    api.test.example
```

当采用系统名称解析器的程序访问 `api.test.example` 时，本机可能直接取得 `192.0.2.20`，不再为这个名称向配置的 `DNS` 服务器索取地址。另一台没有这条记录的电脑，仍会按照自己的解析配置查询 `DNS`。两台电脑访问同一个名称，因而可能连接到完全不同的服务器。

微软关于主机名解析顺序的文档也说明，Windows 客户端在典型主机名解析流程中会检查本地 `Hosts` 文件，并在没有获得匹配结果时查询 `DNS`。[Microsoft TCP/IP 主机名解析顺序](https://support.microsoft.com/en-gb/topic/microsoft-tcp-ip-host-name-resolution-order-dae00cc9-7e9c-c0cc-8360-477b99cb978a)

这里需要保留一个工程上的严谨表述，不能把所有系统一概描述为固定的 `hosts` 优先于 `DNS`。Windows 的常见解析流程确实会使用本地文件，Linux 则可能通过 `/etc/nsswitch.conf` 决定不同名称源的查询顺序。容器、虚拟机、浏览器、运行时、代理软件和企业安全客户端也可能加入自己的解析层。更准确的说法是，`hosts` 是系统名称解析体系中的一个静态数据源，其实际优先级由操作系统和当前环境的解析配置决定。

## hosts 文件究竟保存了什么

`hosts` 文件通常是一行一条映射。常见格式如下。

```text
IP地址    规范主机名    可选别名
```

一个实际条目可以写成下面这样。

```text
192.0.2.30    app.internal.example    app
```

这里的 `192.0.2.30` 是目标地址，`app.internal.example` 是完整主机名，`app` 是可选短别名。多个字段之间一般使用一个或多个空格或制表符分隔。以 `#` 开始的剩余内容通常被视为注释。

```text
192.0.2.30    app.internal.example    app    # 内部测试服务
```

注释有助于记录修改原因、责任团队和失效日期。企业环境里的临时映射若没有说明，很容易在数月后变成难以追查的隐患。某台电脑一直连接旧服务器，其他电脑全部正常，排查人员可能花费大量时间检查负载均衡、证书、代理和防火墙，问题却只是遗留在本地文件中的一行旧地址。

同一个地址可以对应多个名称，同一个名称也可以存在多条地址记录，但不同系统和应用对重复记录、地址排序以及 `IPv4` 与 `IPv6` 的选择行为可能存在差异。工程实践中不宜利用含糊的重复条目制造负载均衡，也不应把 `hosts` 当成正式的服务发现机制。

`hosts` 文件只能表达较简单的地址映射关系。它不能完整替代 `DNS` 中的各种记录类型，无法正常承担邮件路由、服务发现、域名委派、别名链、反向解析策略、数字签名验证和基于地理位置的智能调度。把它理解成一张本机静态地址表，比把它理解成微型 `DNS` 服务器更准确。

不同操作系统中的典型位置如下。

| 操作系统    | 常见位置                                      |
| ------- | ----------------------------------------- |
| Windows | `%SystemRoot%\System32\drivers\etc\hosts` |
| Linux   | `/etc/hosts`                              |
| macOS   | `/etc/hosts`                              |

这些文件通常受到系统权限保护。Windows 上往往需要以管理员权限运行编辑器，Linux 和 macOS 上一般需要具备管理员权限。权限要求并非多余，它可以降低普通程序随意篡改名称解析结果的风险。

## 它为什么能改变浏览器访问的服务器

浏览器访问一个采用域名的 `HTTPS` 地址时，需要经历两个相互关联但不能混为一谈的阶段。

名称解析阶段负责回答该名称对应哪个 `IP` 地址。`hosts` 可以干预的主要是这一层。

安全连接阶段还要验证服务器证书。证书验证依据通常仍是网址里的主机名，而不是 `hosts` 中填写的地址。

假定正式网站 `shop.example.com` 在公共 `DNS` 中指向生产服务器，本机却配置了下面的映射。

```text
192.0.2.50    shop.example.com
```

浏览器可能把连接发给 `192.0.2.50`，但发起 `TLS` 握手时仍会要求服务器提供适用于 `shop.example.com` 的证书。若测试服务器没有对应证书，浏览器仍然会报告证书名称不匹配或证书不受信任。

所以，修改 `hosts` 并不会关闭 `HTTPS` 验证，也不会自动生成合法证书。它只是改变寻找服务器地址的结果，没有改变网址中的主机名，更没有改变证书的信任链。

类似地，现代网站常由反向代理、内容分发网络或虚拟主机平台承载。多个域名可以共享同一个地址，服务器依靠 `HTTP Host` 请求头或 `TLS SNI` 识别客户端要访问的站点。直接在浏览器里输入服务器地址，往往得不到与域名访问相同的结果。使用 `hosts` 保留原域名，同时把流量导向测试地址，恰好可以保留正确的 `Host` 与 `SNI` 信息，这也是它在网站迁移验证中很有价值的原因。

## 开发、测试和运维中的真实用途

软件开发中最常见的用途，是给本地服务提供稳定名称。当前正在开发的前端页面可能通过 `http://localhost` 访问后端，也可以配置一个更贴近生产环境的名称，例如 `api.dev.example`。后者更适合验证跨域策略、Cookie 域、反向代理规则、虚拟主机路由以及依赖主机名的登录回调。

本地映射到回环地址后，相关请求会回到当前电脑。

```text
127.0.0.1    api.dev.example
```

如果本机的 `Nginx`、`Apache HTTP Server`、`Node.js` 或容器端口代理正在监听对应端口，访问该名称就会进入本地服务。若没有程序监听，浏览器通常只会报告连接被拒绝。`hosts` 不会创建服务器，也不会打开端口，它只负责提供地址。

网站迁移也是一个常见场景。生产域名仍指向旧服务器，而运维团队希望在正式切换 `DNS` 之前检查新服务器。测试电脑可以暂时把生产域名映射到新地址，并验证页面内容、登录流程、静态资源、接口调用、证书、重定向、Cookie 和缓存行为。公众流量依旧进入旧服务器，只有测试电脑访问新服务器。验证完成后删除映射，再执行正式的 `DNS` 切换。

企业内网故障诊断中，`hosts` 也能用来隔离问题。某个内部应用无法打开时，可以暂时建立一条明确映射，观察应用在绕开 `DNS` 查询后是否恢复。若恢复，问题范围可收缩到名称解析链路。若仍然失败，就应继续检查路由、代理、防火墙、端口、证书或应用自身。

这个做法只适合诊断或短期应急。长期依靠每台终端人工维护，会产生配置漂移。服务器地址变化后，有些电脑已更新，有些仍连接旧地址，故障会变得间歇而隐蔽。正式企业环境更适合使用内部 `DNS`、自动化配置管理或服务发现系统。

广告和恶意域名拦截也是一种历史悠久的用法。做法是把特定域名映射到回环地址或不可用地址，让连接无法到达原服务器。不过现代网页大量使用共享域名、内容分发网络和动态接口。粗粒度屏蔽可能造成页面损坏，也不具备内容级过滤能力。浏览器扩展、网络级过滤服务和具备规则引擎的安全网关，通常更适合复杂控制。

## hosts 能做什么，也不能做什么

`hosts` 能让指定主机名在本机解析到指定地址，能在 `DNS` 尚未更新时进行定向测试，能在小规模隔离环境中提供基础名称映射，也能临时绕过故障的名称服务器。

它不能把远程服务器搬到本机，不能让未启动的服务自动运行，不能绕过网络路由，不能穿过被防火墙阻断的端口，也不能修复服务器证书。

它不能修改远端设备的解析结果。手机、平板、另一台电脑、虚拟机和容器一般都有自己的文件系统与解析环境。本机改完后，局域网中的其他设备不会自动继承。

它也不能把任意路径映射到另一个路径。下面这种想法并不属于 `hosts` 的能力范围。

```text
example.com/old    example.com/new
```

`hosts` 识别的是主机名，不理解 `URL` 路径、查询参数、协议和端口。路径跳转应由应用程序、Web 服务器、反向代理或浏览器规则完成。

端口也不能写进主机名映射。下面的形式不是有效的主机映射。

```text
192.0.2.60    api.example.com:8080
```

名称解析只返回地址。端口由 `URL`、应用配置或协议默认值决定。正确思路是把 `api.example.com` 映射到目标地址，再通过访问地址明确指定端口，或者由反向代理监听标准端口并转发到内部端口。

通配符通常也不是标准 `hosts` 能力。写入 `*.example.com` 并不能可靠匹配所有子域名。需要批量子域解析时，应使用本地 `DNS` 服务、开发代理或专门的通配域名方案。

`hosts` 也不是可靠的负载均衡器。虽然可以为一个名称填写多个地址，但客户端采用哪个地址、是否轮换以及失败后是否尝试其他地址，受到解析器和应用实现影响。健康检查、权重、故障转移和区域调度仍应交给 `DNS`、反向代理或负载均衡平台。

## 为什么修改后有时没有效果

最常见的原因并不是文件功能失效，而是编辑对象、缓存层或测试方法出了偏差。

Windows 文件通常没有扩展名。若编辑器把它保存成 `hosts.txt`，系统不会把它当作目标文件。资源管理器隐藏已知扩展名时，这类错误不容易被看见。

权限也是常见障碍。编辑器没有管理员权限时，保存操作可能失败，也可能把文件保存到了另一个目录。修改后应重新打开原文件确认内容已经真正写入。

格式问题也会导致记录不能按预期工作。地址与主机名需要用空格或制表符分隔，注释应放在 `#` 后面。复制自网页的内容有时带有不可见字符或全角空格，肉眼看起来正常，解析器却未必接受。

缓存是另一个关键因素。Linux 手册指出，文件修改通常会立即生效，但应用程序缓存可能造成例外。[Linux hosts 手册](https://man7.org/linux/man-pages/man5/hosts.5.html) 浏览器、操作系统、代理、Java 运行时、容器和应用自身都可能缓存解析结果。关闭并重新启动应用，或刷新操作系统的名称解析缓存，常常比反复修改文件更有效。

测试工具也容易带来误判。`nslookup`、`dig` 主要面向 `DNS` 查询，它们可能直接询问指定的 `DNS` 服务器，并不等同于应用程序调用系统名称解析接口。因此，`nslookup` 显示公共地址，而浏览器仍访问 `hosts` 指定地址，并不必然矛盾。

在 Linux 环境中，更适合使用走系统名称服务接口的命令检查结果。

```bash
getent hosts api.test.example
```

在 Windows 环境中，可以结合 `ping`、PowerShell 网络命令和实际应用行为观察系统解析结果。`ping` 只能帮助确认名称被解析成哪个地址，不能证明目标网站、数据库或接口服务工作正常。远端主机可能禁止 `ICMP`，即使 Web 服务完全可用，`ping` 仍可能超时。

代理也会改变观察结果。某些代理会在远端解析域名，本机只负责把原始主机名交给代理服务器。此时本地 `hosts` 记录可能没有机会参与实际解析。企业安全软件、VPN、浏览器安全解析功能和容器网络都可能形成类似差异。排查时应确认解析动作究竟发生在浏览器、本机操作系统、代理服务器、容器还是远端网关。

## 安全风险比文件大小大得多

`hosts` 只是一个很小的文本文件，却位于网络访问链路的关键位置。恶意程序一旦获得管理员权限并修改它，就可能把银行、邮箱、代码仓库或企业登录域名指向攻击者控制的服务器。

如果攻击服务器无法提供可信证书，现代浏览器通常会给出明确警告。但攻击者还可能结合安装恶意根证书、代理劫持、浏览器策略篡改或仿冒页面降低警告效果。发现常用网站突然证书异常、登录页面外观变化、同一域名在不同设备上指向不同地址时，应把 `hosts` 检查列入排查范围。

人工添加的错误记录也可能制造类似故障。生产域名临时映射到测试服务器，测试结束后没有删除，电脑就会长期绕开正式解析。即便公共 `DNS` 已经完成迁移，这台电脑仍停留在旧环境。出现只有一台设备访问异常的情况时，检查本地静态映射往往很有价值。

安全管理上应保持文件内容精简，修改前留存备份，记录变更原因与预计撤销时间，不从不明网站下载超大映射列表，也不随意运行要求关闭安全软件或取得管理员权限的批处理脚本。企业设备还可以通过完整性监控、终端防护或配置管理系统审计异常变化。

需要删除映射时，应只删除确认属于当前任务的条目，不宜直接覆盖整个文件。系统原有的回环地址、设备管理软件记录、虚拟化平台配置或企业安全策略可能仍有用途。修改范围越精确，带来的连带风险越低。

## 从计算机网络角度看清它的位置

`hosts` 所在的是名称解析环节，而不是数据包转发环节。

名称解析负责从主机名得到地址。路由表根据目标地址选择出口和下一跳。地址解析协议负责在局域网内获得相邻设备的链路层地址。传输层根据端口把数据交给具体进程。应用层协议继续处理网页、接口、邮件或数据库请求。

这几层的责任不能互相替代。

若 `hosts` 把名称正确解析到某个地址，但系统路由表没有到达该网络的路径，连接依旧失败。若路由可达但防火墙封锁目标端口，连接仍会超时或被拒绝。若端口开放但服务器证书与主机名不匹配，浏览器仍会报安全错误。若网络与证书全部正常，但服务器的虚拟主机没有配置这个域名，返回的也可能是默认站点或错误页面。

因此，排查时可以沿着一条清晰链路逐层确认。

```text
主机名
↓
系统名称解析
↓
目标 IP 地址
↓
路由与代理
↓
目标端口
↓
TLS 证书与 SNI
↓
HTTP Host 与应用路由
```

这条链路解释了为何修改 `hosts` 有时立刻解决问题，有时完全没有效果。只有故障位于名称到地址的映射环节，修改它才可能直接产生作用。其他层级的错误仍要在对应位置处理。

`hosts` 不是过时到毫无价值的遗留文件，也不是可以取代 `DNS` 的万能配置。它更像操作系统旁边的一张本地静态通信录，体积很小，优先级通常较高，修改范围只限当前解析环境。开发人员用它把真实域名引向本地服务，运维人员用它验证新服务器，故障排查用它隔离 `DNS` 问题，攻击者也可能利用它劫持访问方向。

理解这几个边界后，许多现象都会变得清楚。修改 `hosts` 改变的是本机如何找到目标地址，不是域名所有权，不是服务器状态，不是网络路由，也不是 `HTTPS` 信任关系。它的价值来自简单、直接和局部可控，它的风险也来自同样的特征。


在开发环境里访问 api.test.example，浏览器打开的却是本机启动的服务。用 nslookup 查询这个域名，得到的又可能是互联网上的正式地址。再换一台电脑访问，同一个域名指向的服务器仍然与本机不同。

一台电脑如何在 DNS 之外认出网站，本地 hosts 文件的作用、原理与安全边界

紫薇堂堂主

编程语言

开发环境中访问api.test.example却连接本机服务，通常与hosts文件有关。它作为本地静态主机名映射表，可覆盖DNS解析结果，但仅影响本机且不改变公共解析。修改hosts需注意格式、权限及缓存，并区分其与DNS、代理、证书验证的作用边界。理解其机制有助于排查开发测试中的地址指向问题。

域名注册

测试服务

负载均衡

虚拟主机

数据库

服务器

TLS证书

虚拟机

虚拟化

容器

路由

ICMP

热销域名限时优惠，新客首年免费！


domain

腾讯云双十一大促

CDN免费试用


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

一台电脑如何在 DNS 之外认出网站，本地 hosts 文件的作用、原理与安全边界-腾讯云开发者社区-腾讯云

一台电脑如何在 DNS 之外认出网站，本地 hosts 文件的作用、原理与安全边界

一台电脑如何在 DNS 之外认出网站，本地 hosts 文件的作用、原理与安全边界

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐