中文域名与IDN技术体系

01 · IDN技术基础：从ASCII到Unicode

DNS协议诞生于1980年代，域名标签只允许63字节以内的ASCII子集（字母、数字、连字符）。为使中文等非拉丁文字可用于域名，IETF制定了国际化域名（IDN）体系，其核心是"编码转换 + 协议封装"：注册与解析协议仍传输ASCII串，应用层负责在Unicode显示形式（U-label）与ASCII编码形式（A-label，即Punycode）之间转换。

1.1 两代IDNA标准

工程启示：同一Unicode字符串在不同IDNA版本下可能解析为不同域名，检测系统必须固定映射版本（推荐UTS #46 transitional处理），否则会出现"同一显示串、两套判定结果"的规则失效问题。

1.2 Punycode：一次可手工复核的编码

Punycode（RFC 3492）是"bootstring"算法的具体应用，以"xn--"为前缀标记，保证编码结果只含DNS允许的ASCII字符。编码是确定性的公开算法——这既是IDN可用性的基础，也是检测工作的便利：任何"xn--"标签都可无密钥、无网络地还原为Unicode形式，检测的第一步永远是本地解码。

import codecs

# A-label（ASCII兼容编码）与 U-label（Unicode形式）的互相转换
samples = ["xn--s7y", "xn--fiq228c", "xn--mnchen-3ya"]
for a in samples:
    u = codecs.decode(a, "punycode")          # A-label → Unicode
    print(f"{a:20s} -> {u}")

# 输出：
# xn--s7y              -> 短
# xn--fiq228c          -> 中国
# xn--mnchen-3ya       -> münchen

02 · 中文顶级域名全景

中文顶级域名分为两类：IDN国家代码顶级域名（IDN ccTLD）与IDN新gTLD。前者经ICANN的IDN ccTLD快速通道（Fast Track，2009年启动）进入根区，".中国"（含繁体"中國"变体，Punycode：xn--fiq228c）于2010年写入根区，是全球规模最大的IDN ccTLD之一；后者随2012年轮新gTLD计划入根。据ICANN官方统计，全球已入根IDN新gTLD共90余个，覆盖中文、阿拉伯文、西里尔文、日文、韩文、泰文等多文字种，其中中文类是全球IDN新gTLD中规模最大的语族。

2.1 主要中文顶级域名一览

选择建议层面，.政务/.公益等专用后缀因前置资质审核而滥用率低，.中国/.网址等开放后缀则需依赖注册局与注册商的事后治理。本课题对中文TLD按"开放度×审核强度"建立风险画像，作为监测资源分配的依据（第5页）。

03 · 中文域名的应用场景与生态现状

中文域名的价值主张是让"不会英文的用户也能输入网址"。其现实生态可概括为"入口已通、纵深不足"：

• 浏览器地址栏：现代浏览器均支持中文域名显示与访问（经Punycode内部转换），但地址栏默认仍优先展示用户输入形式，中文域名的"所见即所得"体验在桌面端基本可用；
• 搜索引擎：主流中文搜索引擎支持中文域名站点收录，中文域名在结果页的展示天然可读；
• 短板——应用层协议：电子邮件是最大短板：SMTP协议历史上不处理UTF-8地址，中文域名邮箱依赖SMTPUTF8扩展（RFC 6531）与发收双方同时支持，实际兼容性有限；SSL证书、部分老旧App内嵌WebView、企业代理网关同样存在兼容性死角；
• 短板——用户习惯：中文用户的主访问路径已被搜索引擎与App内搜索主导，直接键入域名（无论中英文）的行为占比低，中文域名的品牌价值更多体现在品牌展示与印刷物料场景。

这一生态现状对安全的含义是双面的：一方面，中文域名钓鱼的"命中率"受限于上述短板；另一方面，用户对中文域名的陌生感本身可被利用——攻击者利用"官方居然有中文域名"的新鲜感降低受害者戒备，属于社会工程层面的风险放大。

04 · 中文域名的独特风险面

综合判断：中文域名的技术风险面小于拉丁空间（汉字形近空间相对收敛），但其社会工程风险面——用户 unfamiliarity、展示层面的官方感——不应被低估。治理上采取"技术检测从简、教育提示从重"的不对称策略是合理的。

05 · 浏览器与客户端IDN显示策略对比

客户端是否将A-label显示为Unicode，是混淆攻击能否得逞的关键闸门。各主流客户端策略差异显著（策略细节随版本变化，以下为公开文档与社区资料归纳的总体格局）：

06 · 根区标签生成规则（RZ-LGR）与注册局IDN政策

ICANN为防止不可控字符进入根区，建立了根区标签生成规则（Root Zone Label Generation Rules, RZ-LGR）：每个文字种社区制定自己的LGR（定义合法码位、上下文规则、变体映射），经公共评审后合并为根区LGR。中文（Han文字种）LGR由包括CNNIC在内的中文社群参与制定，".中国"的简体/繁体变体绑定即体现LGR的变体机制：注册简体"中国"自动绑定繁体"中國"，二者同步激活或同时失效，从制度上消除了官方中文域名的简繁仿冒面。

• 注册局IDN表：各注册局在其RA合同下发布IDN注册表，规定本后缀允许注册的码位与变体规则；检测系统可将注册局IDN表作为"合法字符空间"的权威依据，超表即高危；
• 变体机制的局限：LGR解决的是"官方后缀"层面的变体绑定，普通注册人注册的域名（如"淘寶.网址"）除非注册局另行设置规则，否则不与简体变体联动——这是检测必须覆盖的空白；
• 跨文字种混淆的LGR盲区：LGR按文字种独立制定，拉丁a与西里尔а之间的跨文字种混淆不在任何单一LGR的管辖内，需靠UTS #39混淆数据补足（第4页）。

本节小结：中文域名/IDN的技术底座由"Punycode编码 + IDNA2008 + UTS #46映射 + RZ-LGR + 注册局IDN表"五层构成。检测系统与注册政策均应显式声明依赖哪一层、哪一版本，这是全部工程结论可复现的前提。

§ · 本节参考来源（第3页）