cloudflare 感觉怪怪的，添加和解析一个域名不需要任何的验证。

[CCKurokawa]

这样我可以直接添加别人的域名到自己账户里，然后修改他的解析。

如果别人的域名没有使用 cloudflare ，而是使用别的服务商进行解析（例如阿里云），我直接添加到 cloudflare 后甚至可以看到他的所有解析记录。。。

震惊

[miyuki]

冷嘲热讽就没必要了

添加是可以添加，但是下一步需要修改 ns ，不改过去还是用不了滴

[leonshaw]

权限验证是通过改 NS 完成的，那校验 NS 记录和这两个给定 server 上的解析生效先后顺序是怎么样的？
如果先校验，那切换过程可能会有一段时间无法解析；如果先解析生效，那有可能用多账号做拒绝服务攻击？
感觉这种设计有点奇怪（虽然防 DoS 是他们看家本领）

[SunsetShimmer]

@leonshaw #22 遇到极端情况可以人工审核？

[zhangshine]

跟手机验证码一样，情况会出现，但是概率很小

[renfei]

@leonshaw 我是这样理解先校验 NS 权限的
1.Cloudflare 去查 whois ，NS 记录是准实时的，会很快感知到 NS 记录的变化
2.用户侧的 NS 记录是有 72 小时的 TTL 缓存的，不是实时的
所以，Cloudflare 会更快的接入，使解析在用户查询到 NS 变动之前就生效

[leonshaw]

@SunsetShimmer
@renfei
试了一下，是先生效的

dig @garret.ns.cloudflare.com v2ex.microsoft.com TXT +short
"See https://v2ex.com/t/940085"

这下微软用不了这个 DNS server 了。。

[renfei]

@leonshaw

不是，只有给你分配的这组 NS 才能解析，微软没有修改域名的 NS 记录，互联网上是不会走到你那组 NS 的

比如给我分配的 NS 是 robin.ns.cloudflare.com ，那你试试这个

dig @robin.ns.cloudflare.com v2ex.microsoft.com TXT

就无法解析，所以只能自嗨

[leonshaw]

@renfei 我知道，所以我说的是“这个” DNS server 。问题在于其它账户想解析 microsoft 域必须分配不同的 DNS ，那么如果有足够的（超过权威 DNS 地址池）账户做同样的事情，就能形成 #22 说的 DoS 攻击。

[renfei]

@leonshaw 我找到一个 2 年前的数据，已经有 900+ 个 ns 记录了： https://github.com/indianajson/cloudflare-nameservers

这 2 个一组，虽然有穷尽，但似乎比较困难