下载邮件附件前的安全检查清单

即使文件名普通、邮件使用熟悉标志，或者发件域名通过了邮件认证，附件仍可能危险。下载前先判断文件是否符合预期、请求能否独立核实，以及准备使用的设备与软件是否适合承担风险。

Once Email 可以接收附件，但不能发信，也不声称为附件提供恶意软件扫描。页面显示的文件名、MIME 类型和下载链接只是描述性元数据，不是安全结论。

多大的附件还能接收？

Once Email 的收信入口会拒绝超过 10,240,000 字节（约 9.77 MiB）的整封邮件。这个数字包含正文、邮件头和编码后的附件。Base64 封装通常会让附件增大约三分之一，因此接近 10 MB 的原文件无法装入。为了提高投递成功率，普通文档建议单个不超过 5 MiB，并给正文和邮件头留出空间；这是保守建议，不承诺每个发件服务或投递路径都必然成功。

大小限制不是安全检查。Once Email 目前不为附件颁发“无病毒”结论。PDF、纯文本、CSV 和办公文档仍可能含有恶意链接、宏或畸形内容；可执行文件、脚本、磁盘映像、加密压缩包和启用宏的文档不应在这里打开。文件不符合预期时不要下载；确实符合预期时，也应使用设备上已更新的安全软件或组织批准的扫描服务。ClamAV 官方文档也说明恶意软件检测是可配置的扫描层，并不能解包所有格式或变体，因此阴性结果只能降低已知风险，不能证明安全。

Google 会阻止多类可执行格式、恶意宏和加密压缩包；微软则建议通过独立可信渠道核实意外附件。这些措施都是防护层，但熟悉的扩展名或一次未检出结果都不是安全证明。

1. 附件不在预期内就先停止

问清楚什么真实事件应该产生这个文件：你是否请求过导出、申请过材料、创建过支持工单，或事先约定对方发送？紧迫语气不是证据。意外发票、快递通知、简历、法律威胁或“安全报告”，即使主题看似合理也应先视为未核实。

微软的网络钓鱼防护指南建议不要打开可疑链接或意外附件，并通过官方联系方式联系机构。发件账号本身可能已被入侵，因此不要直接回复原邮件询问真假；应使用自己已知可信的电话、应用或网站。

如果无法解释文件为何出现，最安全的下载就是不下载。

2. 通过独立渠道核实发件人

显示名可以复制，From 地址可以伪造，真实账号也可能被盗。SPF、DKIM 和 DMARC 提供域名层面的有用证据，却不能证明发件人的意图或附件内容。

重要文件应在既有对话或已知联系方式中向对方确认，询问用途和预期文件名，不要索要密码或秘密。声称来自公司的文档，应独立打开其官方应用或网站，不要沿用同一封邮件中的链接。

邮件认证通过永远不能替代这一背景核实。

3. 查看完整文件名，不要只看图标

在操作系统中显示完整文件名和扩展名。攻击者可以利用超长名称、重复空格、从右到左字符或多个扩展名，让可执行文件看起来像文档。statement.pdf.exe 仍然是可执行文件。

安装包、脚本、快捷方式和磁盘映像等可执行或可编程格式风险较高。Office 文档和 PDF 也并非天然安全，它们可能包含主动内容、链接或触发解析器漏洞的畸形数据。压缩包可以隐藏真实类型，加密压缩包还可能专门用来阻止邮件服务检查内容。

不要通过改名强行打开被阻止的文件。客户端警告意味着应向发件人或安全团队核实交付方式，而不是寻找绕过办法。产品的阻止列表也不是完整的恶意软件清单。

4. 比较元数据，但不能只相信元数据

邮件可能声明 application/pdf，实际字节却是其他格式；文件扩展名和 MIME 都可能错误或被故意伪造。大小也不能证明安全，小脚本同样可能有害。

元数据适合发现矛盾，不适合颁发安全证明。如果预期 PDF 却显示为可执行文件，或对方说发送一张图片而邮件里出现加密压缩包，应立即停止并核实。Once Email 展示的是收到的附件信息，不保证它与真实格式一致。

5. 保存或打开前先保护设备

保持操作系统、浏览器、文档阅读器和安全软件更新。保存时不要自动打开，并使用设备或组织批准的安全控制扫描，遵守隔离警告。

扫描未发现问题只能降低已知风险，不能证明文件安全；新型或定向恶意程序可能尚未被识别。在线扫描服务还可能保存或分享样本，未经授权不要上传合同、个人记录、源码压缩包或客户文件。

高风险且确有授权的分析应使用组织管理的隔离环境并让安全团队参与。个人电脑、生产服务器或保存重要凭证的设备都不是恶意软件实验室。不要为了“看看会发生什么”执行可疑文件。

6. 重新判断是否真的需要附件

很多正规服务会在登录后的门户中提供同一文档。从已知应用重新下载，通常比打开邮件附件更可控。也可以询问纯文本摘要、受保护文件共享或重新生成的导出能否满足需求。

若附件只是验证码或临时记录，只保存必要信息并遵守保留要求。完整 .eml 或邮箱导出可能携带无关邮件头、令牌和个人资料，处理方式可参考邮件测试证据指南。

7. 报告可疑邮件，但不要扩散文件

优先使用邮件服务的钓鱼或滥用举报功能；工作环境按安全团队渠道报告。不要随意把可疑附件转发给同事，转发会产生更多副本和误开机会。

只记录最小信息：到达时间、声称的发件人、为何不符合预期、文件名和客户端警告。放入广泛可见工单前，移除收件地址、令牌和内部标识符。原始邮件只能按获准的事件处理流程保存。

如果已经打开文件且设备行为异常，应按组织要求停止敏感操作并联系安全支持。不要隐瞒，也不要一边自行调查一边继续输入密码。

下载决定

只有当文件符合预期、发件人已经通过可信渠道核实、完整文件名和格式可以解释，并且有合适且已更新的处理环境时才下载。遇到无背景的紧迫要求、类型与请求冲突、客户端阻止或必须削弱安全控制才能继续时，应停止。

附件成功到达只能证明投递，不能证明安全。这份清单的目标不是预测所有恶意文件，而是避免把未经核实的邮件变成你所重视设备上的代码或主动内容。

做出安全下载决定之后

Once Email 只负责接收并交付附件，不预览或解压文件、不检查压缩包内部，也不把附件交给在线解压服务。需要整理多个符合预期的压缩包时，使用本地 UnpackFlow 批量实战指南。指南把浏览器下载、本地计划、结果核验、源包清理和邮箱删除保持为独立决定；缺卷、损坏、有密码或未核验时必须保留源包。