nslookup 回答"这个域名解析成什么"，dig 回答"这个答案是谁给的、凭什么"。本文先讲清两者的分工，再用一段可复制粘贴的脚本，在本机复现"公司代理劫持 HTTPS 导致证书校验失败"，然后按 openssl 看证书、dig 看解析的顺序把凶手指出来，最后给一份排查清单，并把这套方法收成了 AI skill lazy-tls-doctor。

这篇文章用一个脱敏后的 Python HTTPS 报错为例，讲清楚 unable to get local issuer certificate 到底是什么意思，为什么很多时候不是客户端代码写坏了，而是证书链没接上；正文讲排查主线，完整脚本与可运行示例放到独立仓库里。