DoH 路径
中国大陆优化：
https://你的域名/cn/dns-message
全球公共解析：
https://你的域名/global/dns-message
两个路径都兼容 RFC 8484 的 GET ?dns= 和 POST application/dns-message。浏览器查询使用同区域的 /dns-api?name=...&type=... JSON 接口。
中国大陆分流
选择 cn 后，解析器只使用项目内同步的 ChinaMax_Domain.txt 域名规则。旧项目的国家/地区后缀已合并进这份规则文件；命中的域名使用私有中国上游，其他域名使用 Cloudflare 公共 DoH。这个判断只基于查询名，不会读取页面端 Cookie，也不会把服务令牌暴露给浏览器。
缓存
缓存键包含区域、分流结果和归一化后的完整 DNS 查询报文。响应 ID 在边缘按请求恢复，因此不同客户端可以安全共享同一个 DNS 响应缓存。缓存时长不会超过 DNS 响应中的最小 TTL，并受 CACHE_MAX_TTL_SECONDS 限制。
Cloudflare Secrets
在 Cloudflare Pages 的生产环境配置：
CN_UPSTREAM_DOH_URL=https://my.jsw.ac.cn/api/v1/dquery-cn
CN_UPSTREAM_SERVICE_TOKEN=至少32字符的强随机令牌
CN_UPSTREAM_KEY_ID=default
GLOBAL_UPSTREAM_DOH_URL=https://cloudflare-dns.com/dns-query
不要把 CN_UPSTREAM_SERVICE_TOKEN 写进 Pagekiln 内容、浏览器脚本或 Git 仓库。