技能介绍

要解决什么问题

运维和安全巡检里，常见输入不是「单个域名」，而是 DNSPod / 阿里云 导出的解析表，或从其它技能拿到的解析记录文本。表里混着 A、CNAME、NS、TXT，还有「记录状态」「线路类型」等列。你需要知道：每条正常记录在公网上最终落到哪些 IP、443 是否真能完成 TLS 握手、证书是否仍有效、到期时间（GMT） 是什么——而不是把 ping 或单纯端口连通当成 HTTPS 正常。

技能如何工作

技能按固定流程处理输入：确认根域名与解析表（优先 UTF-8 TSV；粘贴表格会先落盘，.xlsx 会先导出再分析），必填列包括 主机记录、记录类型、记录值、记录状态。线路类型若存在仅保留，不参与决策。

核心脚本是 scripts/analyze_dns_records.py：

只分析 记录状态 = 正常 的 A / CNAME；NS/TXT 等跳过 443/SSL 检测但保留在明细里
A：直接用记录值 IP 检测
CNAME：解析目标 hostname，对每个最终 IP 单独测
可选 --direct-endpoint fqdn=ip：跳过 DNS，锁定 Host+IP 直测

判定口径与手工核对一致：443 打开 = 成功完成 TLS/HTTPS 握手；SSL 有效 = 握手成功且未过期、域名匹配、链无错；到期时间优先用 curl --resolve 读叶子证书，必要时 openssl 兜底。最终输出 JSON + Markdown，含汇总（总记录数、参与测试 IP 数、443/SSL 统计）与明细字段。

适用边界与注意点

缺少根域名时需先确认再跑分析。证书链与域名匹配以 curl 握手结果 为准，openssl 主要用于查看证书内容。Linux/macOS 上建议同时具备 curl 与 openssl；脚本已兼容 curl 证书输出里 Expire date 大小写差异，避免误判 443 不可达。更细的列定义与解析规则见 references/input-format.md。