摘要

  • LACNIC 博客 9 月 17 日刊登的一篇投稿文章称，XARF v4 最少需要七个字段；现行 XARF 技术规范列出的通用顶层必填字段是八个。
  • 简短列举中少掉的是 sender。XARF 将它与 reporter 分开，使国家 CERT、技术服务商或其他中介能够代为传送报告，却不会因此变成投诉主体。
  • 这处差异不能证明真实报告曾被漏收，也不能说明 LACNIC 强制使用 XARF。它说明每次验证都应绑定具体规范版本、字段清单、角色、传输结果和分流状态。

第八个字段保存的是一段责任链

设想一个只准备了七个格子的入站系统。版本、报告 ID、事发时间、报告者、滥用源、类别和类型全都填好了，界面显示绿色。可是，这份材料其实由国家 CERT 代表某个成员传送；系统没有位置保存这个中间角色。

这个假设并不证明任何现有软件有错，更不证明投诉内容属实。它只揭示一个更小、也更容易纠正的问题：文档里的简短清单可能在落地时变成角色模型。

9 月 17 日，LACNIC 博客刊登 Guillermo Pereyra 的文章《如何避免滥用报告淹没在收件箱里》。文章把 XARF v4 介绍为由社区维护的 JSON 滥用报告格式，覆盖七大类共 32 种事件。

文章随后说，v4 至少要求七个字段：规范版本、唯一标识、事件时间、报告者、滥用源，以及类别和类型。按照这一列法，确实是七项。但现行 XARF v4 技术规范列出八个通用顶层必填字段：xarf_version、report_id、timestamp、reporter、sender、来源标识字段、category 和 type。

通用字段参考重复了这八项，并进一步要求 reporter 与 sender 对象内的组织、联系人和域名等属性。各事件类别还可能增加自己的必填字段。因此，“八个”说的是所有报告共有的顶层框架，不是任何报告总共只需八个值。

博客文章并非完全忽略了 sender。紧接着的一段正确解释了两个角色，示例 JSON 也同时包含它们。页面还明确声明，作者观点不一定代表 LACNIC。证据边界因此很清楚：没有材料显示 LACNIC 部署了七字段解析器，没有材料显示 XARF 实现发生故障，也没有材料显示某一封投诉因为这句话而遗失。

不过，被漏数的角色并非装饰。reporter 是发现或投诉滥用的组织，sender 是实际传送报告的组织。两者常常相同；在委托链中却可能分别是客户与反滥用服务商、品牌与品牌保护公司、成员与国家 CERT。

接收方需要保留这种区分，才能回答不同问题：谁提出事实主张，哪个系统完成认证和传送，格式错误应退回给谁，两次到达是同一报告的重发，还是两名报告者对同一事件的独立观察。把两个角色压成一个“来源”，数据表更短，责任链却断了。

即使八项全部齐全，验证也只完成了第一步。XARF 把 source_port、evidence、evidence_source 和 confidence 列为通用推荐字段；各类别另有必填项。标准模式要求所有通用及类别必填字段，严格模式还要求推荐字段。

这意味着，一份在宽松模式下合法的报告可能没有证据数组；附有证据的报告也可能材料无关。格式完美的邮件仍可能投递失败、进入错误队列、无人查看，或陈述了资源持有人反对的事实。语法、送达、内部路由、研判、处置决定与修复效果，是六种不同状态。

博客原文也保留了这条界线。它指出，证据在规范中虽属推荐项，在实践中却往往决定报告能否采取行动。它还明确说，只要写明受影响资源、UTC 时间、滥用类型、证据和可回复联系人，纯文本仍然有效。一封内容完整的普通邮件，完全可以优于一份空洞的 JSON。

LACNIC 政策手册第 12 节提供的是区域制度背景：abuse-c 与 abuse-mailbox 必须有人主动管理，可以接收人工或自动报告，也不能强迫投诉人使用表单。该规则要求渠道可达并被处理，却没有规定必须采用 XARF，也不会替接收方确认个案事实。

传输标准的权限同样有限。博客正文提到 ARF 和 RFC 5965。该 RFC 定义可扩展的邮件反馈格式，同时明确把发送目的地、内容验证以及报告生成者与接收者之间的信任排除在范围之外。RFC 6650后来补充了适用说明。标准化信封能帮助机器阅读，却不能裁定信封里的指控。

真正可操作的控制件，是一张紧凑的入站回执。它应记录规范名称与语义版本、验证器实际使用的文件或文档摘要，以及当时执行的通用和类别字段清单。即使 reporter 与 sender 内容完全相同，也要把它们保留为两个角色。

同一张回执还应写明验证模式、结果与警告；如有证据，则记录数量与证据包摘要；再保存传输消息 ID、接收端点与到达时间、负责队列、分流状态和纠错通道。摘要只能证明两个系统看见了同一组字节，不能证明其中说法为真。

这样，日后若网页或规范改字，运营者能够找出哪些报告按旧规则检查，只重验受影响的集合。若没有这条谱系，“有效 XARF”只是一个漂移的标签：它看上去精确，实际含义取决于当时恰好打开了哪一页、运行了哪一版代码。

来源