getdns API：我如何知道 RESPSTATUS_NO_NAME 响应是否安全？

Question

我正在使用 Python getdns API。

我正在使用扩展：

extensions = {"dnssec_return_validation_chain" : getdns.EXTENSION_TRUE}

这意味着我会被告知响应是否通过回复字典中的 dnssec_status 选项受到 DNSSEC 保护。 （results.replies_tree 是一个回复字典数组。）

如果没有名称（例如results.status==getdns.RESPSTATUS_NO_NAME），则查询可能没有回复。

在这种情况下，我如何知道 RESPSTATUS_NO_NAME 响应是否通过 DNSSEC 身份验证？

Answer 1

当状态为 getdns.RESPSTATUS_NO_NAME 时，replies_tree 将包含带有空 "answer" 部分的回复并返回代码 NXDOMAIN。 IE。 result.replies_tree[0]['header']['rcode']==getdns.RCODE_NXDOMAIN

当使用 dnssec 扩展时，这些回复将在"authority" 部分包含不存在的证明（如果安全），并且将包含dnssec_status，就像回复包含答案。

当状态为不安全且使用了dnssec_return_validation_chain 扩展时，result.validation_chain 将包含在所查询域的祖先之一中不存在安全委托的证明。