DNSSEC 能对 RRset 做来源认证，但不提供端点身份认证与信道加密。DoT/DoQ 虽可补足，但其设计假设是 stub 到递归解析器这一跳：连接长期存活，可摊薄昂贵的初始握手。而递归到权威这一跳具有高扇入、每个解析器查询频率不均的特点，恰好反转了上述经济性。后量子原语进一步放大矛盾：ML-DSA 的 WebPKI 证书链超过 TCP 初始窗口大小；一次冷启动的 PQ DoQ 查询开销可达同一查询走 UDP 时的约 140 倍字节数。作者还调研了 TLD 与 2LD 域名服务器，发现连接生命周期受限，近半数即使对非空闲连接也设有上限。为此提出 Enc53：一种无状态会话票据协议，实现高效的、经认证的权威 DNS 加密。Enc53 分两阶段：第一阶段在首次查询时完成短时、DNSSEC 锚定、TLS 认证的票据配置；第二阶段进入稳态，使用 1-RTT AEAD 加密的 UDP DNS 查询。协议在服务器侧无状态：递归解析器持有流量密钥与会话票据，权威服务器仅保存对称 STEK。作者在 Knot DNS 中实现 Enc53。稳态一次交换约 570 字节，约为明文 UDP 查询的 3 倍，延迟与未加密 UDP 基线相差 1 ms 以内。恢复型 PQ-ADoT 需 7.7 倍字节与 3 倍延迟；恢复型 PQ-ADoQ 需 10 倍字节但延迟相同。基于根服务器查询轨迹评估，Enc53 相对 ADoT/ADoQ 有 2 倍计算效率，相对 ADoT 有 3 倍内存效率，相对 ADoQ 有 12 倍内存效率。与 FN-DSA-512 后量子 DNSSEC 联合部署时，Enc53-DNSSEC 的 UDP 数据报仍低于 1232 字节缓冲区上限。