摘要

  • RFC 5335 的实验性模型允许非 ASCII 邮箱地址附带一个全 ASCII 备用地址。遇到不支持相应能力的 SMTP 路径时，降级程序可以选择备用地址；规范同时承认两者可能进入不同邮箱，甚至属于不同的人。
  • RFC 5504 用 Downgraded-* 字段保存部分改写来源，但多收件人隐私、伪造风险、信息损失和签名变化使它无法成为普遍完整的授权证明。RFC 6530 后来记录了未认证地址绑定与互操作问题，并在标准化方案中取消传输途中的降级。

隐私保护让最终邮件无法独自作证

先看一个并不罕见的交易形状：同一封邮件在 SMTP 信封中有多个收件人。服务器发现其中一个国际化地址无法继续通过后续节点，于是使用随信携带的 ASCII 备用地址。若它把原地址与新地址的对应关系写进共享邮件头，其他收件人就可能看见本不该知道的地址。

RFC 5504 因此规定，在多收件人目标中不能加入 Downgraded-Rcpt-To。这不是疏忽，而是必要的隐私边界。问题在于，调查者以后只拿到最终邮件时，可能看见改写后的收件人，却看不见原始目标以及两者如何关联。

这说明“保留来源”不能只靠邮件自身。交易日志、改写策略、执行者、原信封状态和地址绑定证据必须由受控系统另行保存。否则保护一位收件人的隐私，会同时削弱另一项问题的可审计性：这封邮件到底是按谁的授权改投到哪里？

两个合法地址并不构成一个合法主体

RFC 5335 扩展邮件头字段的值，使其可以直接包含 UTF-8；字段名本身仍保持 ASCII。它还允许邮箱表示中附带全 ASCII 的备用地址。语法能检查两个地址是否各自有效，也能确定它们是否按规范排列。

语法不能证明它们属于同一人。

规范的安全章节直接承认，ASCII 与非 ASCII 地址可能进入不同邮箱，甚至交给不同的人。发生哪一种结果，可能取决于路径上的邮件传输代理是否支持实验性能力。换一条路、换一个中继或升级一台服务器，实际收件人都可能随之改变。

如果系统把这类选择称为“字符兼容”，就掩盖了真正的动作。邮箱 local-part 是由接收域解释的标识符。把一个名字转写成拉丁字符、从目录中找到旧别名，或者给它配上另一个域名，都可能产生完全不同的账户。只有控制相应主体或得到其明确授权的系统，才有资格声明这种等价关系。

因此，备用地址不应只是一个值。它应是一项带来源的声明：谁创建绑定，依据是什么，适用于哪些操作，何时复核，如何撤销，两个地址目前是否仍进入同一受控账户。缺少这些信息时，它只是候选路线，不是身份连续性的证明。

无能力的中继只能报告限制

RFC 5504 描述了实际降级动作。若非 ASCII 路径带有 ALT-ADDRESS，系统可以用解码后的 ASCII 地址替换它。若备用地址的域名不同，还需要判断当前连接是否适合新域；必要时重新解析并建立另一条 SMTP 连接。

这一步同时改变标识符与管理域。新域可能由另一家提供商运营，执行不同的保留、合规、过滤与访问政策。触发这一迁移的却只是某个下游节点没有公布所需能力。

一个节点当然有权拒绝自己无法处理的格式。它没有因为这种限制而获得重新指定收件人的权力。正确结论是“这条路径无法传送原目标”，而不是“另一个目标必然等价”。

更稳妥的处理包括选择一条已经证明支持原地址的路径、把消息退回提交系统处理，或者明确失败。若发送方控制的提交系统已经持有经过认证、尚未撤销的地址绑定，它可以在自己的授权范围内作出选择。传输途中不受发送者控制的中继不应自行扩张这种权力。

这与 Lu Heng 笔记反复强调的边界一致：记录真实存在，不等于管理记录者拥有记录所指对象。运行代码能够证明备用邮箱接收了数据，却仍不能证明原收件人授权了这次替代。

Downgraded-* 记录的是叙述，不是裁决

实验性降级方案创建一组 Downgraded-* 字段，希望保留被替换的信封或邮件头信息。这给排障留下了重要线索，但不能承担超出其来源的结论。

第一，这些字段描述一项改写，并不认证地址绑定。即使 A 变成 B 的过程完全真实，也仍需回答 A 的控制者是否认可 B。

第二，新字段本身可能由恶意发送者插入。接收者不能仅凭字段名称判断它来自可信降级代理。

第三，一些降级会删除信息，无法完美还原。处理不同字段的算法也不同，最终结果可能只保存部分原貌。

第四，改写会影响签名。完整性机制通常覆盖具体字节；改变邮件头后，原先的验证语义可能不再成立。保存旧值与维护可验证的授权链不是一回事。

所以证据必须分层。邮件中的降级字段是一条自述。受控传输日志可以证明某系统执行了动作。地址绑定记录可以证明谁曾授权。接收系统的回执只能证明它接受了某个目标。人是否真正收到、阅读或认可，仍属于后续层。

“没有退信”可能是最危险的绿灯

兼容方案往往用退信率评价成功。备用地址被接受，图表变绿，用户没有立即投诉。这个指标容易测量，却可能奖励错误行为。

设想一个已离职员工的 ASCII 别名被重新分配，而其国际化地址仍与旧别名绑定。消息通过旧路径会失败，通过降级路径却成功进入新员工邮箱。SMTP 记录显示交付顺利，身份连续性实际已经破裂。

密码重置、法律通知、内部审批或含有客户数据的邮件尤其不能把这种“成功”当成恢复能力。对于这些动作，显式失败往往更忠实：它告诉发送者，当前路径无法承载指定身份。静默替换则把另一位收件人包装成原来的那一位。

运营界面应显示完整链条：原始地址、触发降级的节点、做出决定的系统、备用地址、绑定证明、是否跨域、最终 SMTP 回执，以及能否确认进入原主体控制的邮箱。任何一个字段都不应被压成“已送达”。

标准化选择删除这条桥

RFC 5335 于 2008 年以 Experimental 发布。RFC 6532 在 2012 年取代它。RFC 6530 对实验结果的总结比版本号更重要：早期体系允许并基本要求非 ASCII 地址携带 ASCII 等价地址，但地址对无法得到可靠认证，初始实现出现互操作问题，整体要求和长期影响过于复杂。

标准化体系因此取消传输途中的降级。RFC 6532 采用端到端原生 UTF-8 模型，要求通过 SMTP 传输时使用 SMTPUTF8，并依赖传输系统保证 8 位洁净环境。它没有通过挑选另一个地址来承诺兼容旧的 7 位路径。

这不是对国际化目标的退让，而是对控制边界的修正。若一条桥必须同时解决身份等价、授权、路由、隐私、签名、来源与多实现互操作，它就不是简单的编码桥。

今天的身份与消息系统仍会重演同一诱惑。恢复邮箱、别名、旧域名、账号合并和自动转写都让两个标识符看起来可以互换。安全原则应保持朴素：关联不等于等价，等价不等于授权，接受不等于送达给原主体。只有在改写之前验证绑定、在改写时记录选择、在绑定失效时明确停止，兼容性才不会越权。

来源