Go DNS 解析结果为什么和系统命令不一致

同一台机器上，Go 程序用 net.LookupHost 得到一组地址，终端里的 getent、dig 或 nslookup 却给出另一组，这不一定是 DNS “不稳定”。更常见的原因是：你比较的入口没有走同一条解析路径。

LookupHost 使用本地 resolver；Go 可能选择内置 Go resolver，也可能走 cgo/系统名称服务。先用 GODEBUG=netdns=1 看路径，再核对 /etc/hosts、NSS、resolv.conf 和搜索域，最后用相同配置的 net.Resolver 做对照。

Go 和系统命令其实可能没有走同一条解析路径

Go 官方文档把本地名称解析分成两类：Go resolver 会读取系统配置并直接向 DNS 服务发包；cgo resolver 会调用类似 getaddrinfo 的系统函数。Resolver.PreferGo 可以让某个 Resolver 偏向 Go resolver，但它不是“刷新 DNS 缓存”的开关。

命令行工具也各有边界。getent hosts example.com 通常经过系统的 NSS 顺序，可能先看 hosts 文件；dig example.com 主要展示 DNS 查询结果，不能替代完整的 hosts/NSS 判断。即使命令使用的是同一个域名，只要解析器、服务器、搜索域或 A/AAAA 查询不同，地址集合就可能不同。

先用 GODEBUG 识别 Go 选择的 resolver

不要先改代码猜。对同一个程序设置 GODEBUG=netdns=1，让 net 包打印 resolver 的选择信息；需要强制某条路径时，可以临时使用 netdns=go+1 或 netdns=cgo+1。下面的探针只展示地址和错误，不把具体 IP 当成固定事实：

package main

import (
    "context"
    "fmt"
    "net"
    "time"
)

func main() {
    ctx, cancel := context.WithTimeout(context.Background(), 3*time.Second)
    defer cancel() // 释放超时计时器，避免探针退出前继续持有资源

    addrs, err := net.DefaultResolver.LookupHost(ctx, "example.com")
    if err != nil {
        fmt.Printf("resolver error: %v\n", err) // 保留 DNSError 的上下文，便于与超时区分
        return
    }
    fmt.Printf("addresses: %v\n", addrs) // 只记录本次观测，不把结果写成配置常量
}

# 只打开 net 包的 resolver 诊断；输出用于判断路径，不是业务日志格式
GODEBUG=netdns=1 go run ./cmd/dns-probe

# 临时固定 Go resolver 并保留诊断信息
GODEBUG=netdns=go+1 go run ./cmd/dns-probe

# 用系统名称服务做对照；getent 与 dig 的语义并不相同
getent hosts example.com
dig example.com

如果 Go 在两种模式下结果变化，优先检查系统 resolver 与 Go resolver 看到的配置是否一致；如果只在 dig 与 Go 之间不同，继续确认它们使用的 DNS 服务器、查询类型和本地 hosts 规则。

检查 hosts、search 与 resolv.conf，而不是先怀疑缓存

排查顺序建议从运行环境开始。Linux 上重点看 /etc/hosts、/etc/nsswitch.conf 和 /etc/resolv.conf；容器里还要确认这些文件是否由运行时生成。搜索域会让不带点号的短名称产生额外候选，ndots 等 resolver 选项也可能改变查询次数和等待时间。

这里的“缓存”要谨慎表述：Go net 包默认不是一个给业务提供 TTL 缓存的缓存库，结果差异可能来自系统 resolver、桌面/容器 DNS 服务或上游服务器的缓存。先确认解析路径，再决定是否需要应用层缓存。

用最小探针定位到底是哪一层不同

需要做可重复对照时，给每个 Resolver 一样的 context 超时，并只改变一个变量。StrictErrors 只对 Go 内置 resolver 的多子查询错误处理有意义；Dial 则允许你为 Go resolver 指定 DNS 连接方式。不要把它们和“使用哪个 DNS 服务器”的命令行参数混为一谈。

package main

import (
    "context"
    "fmt"
    "net"
    "time"
)

func probe(ctx context.Context, name string, r *net.Resolver) {
    ips, err := r.LookupIP(ctx, "ip", name)
    if err != nil {
        fmt.Printf("%T error: %v\n", r, err) // 记录错误类型，区分超时、SERVFAIL 与无记录
        return
    }
    fmt.Printf("%T addresses: %v\n", r, ips) // 同时观察 IPv4/IPv6 过滤后的结果
}

func main() {
    ctx, cancel := context.WithTimeout(context.Background(), 3*time.Second)
    defer cancel() // 两次探针共享同一截止时间，避免比较失真

    probe(ctx, "example.com", net.DefaultResolver)
    probe(ctx, "example.com", &net.Resolver{
        PreferGo:     true,  // 只让这个 Resolver 偏向 Go 内置解析器
        StrictErrors: true,  // 多子查询遇到临时错误时不接受部分结果
    })
}

如果两次探针不同，说明 resolver 选择或系统配置确实影响了结果；如果两次相同但 getent 不同，再检查 cgo/NSS；如果只有 dig 不同，确认它是否查询了另一台 DNS 服务器。修复动作通常是统一容器内 DNS 配置、修正 hosts/NSS 顺序，或在明确兼容性要求后对特定 Resolver 设置 PreferGo，而不是在代码里硬编码地址。

常见问题

net.LookupHost 和 dig 哪个更可信？

它们回答的问题不同。前者模拟应用通过本地 resolver 的解析，后者更适合查看某个 DNS 查询；排查应用行为时要优先复现应用真正使用的入口。

设置 PreferGo: true 就能和系统命令一致吗？

不能保证。它只偏向 Go 内置 resolver，hosts、搜索域、系统服务、DNS 服务器和 A/AAAA 行为仍可能不同。

为什么只返回 IPv4，命令却有 IPv6？

检查调用是否使用了 LookupIP(ctx, "ip4", ...)、ip6 或 ip，再确认 A/AAAA 查询和 StrictErrors 的影响。

生产环境应该固定 Go resolver 还是 cgo resolver？

没有脱离环境的统一答案。先用 GODEBUG=netdns=1 找到实际路径，再按容器、操作系统和 NSS 需求选择，并把同一探针纳入部署验证。