Source: https://once-email.com/zh_cn/blog/attachment-safety-checklist 邮件内容安全 · 2026年8月3日更新于 2026年8月23日 # 下载邮件附件前的安全检查清单 下载附件前检查请求背景、发件人、完整文件名、类型和处理环境，并理解邮件预览、认证结果和扫描工具不能证明什么。 [Once Email 工程团队, Once Email author Once Email 工程团队]() 审校 Once Email 中文安全审核 这篇指南帮助你完成 读者可以在下载前停止操作，通过可信渠道核实请求，识别扩展名与 MIME 冲突，并为高风险文件选择受管隔离环境，而不会把附件元数据或阴性扫描误当成安全证明。 文章导读 这篇文章值得阅读的原因 **原创分析** 清单按预期请求、独立核实发件人、完整文件名、类型一致性和处理环境设置连续决策门槛，不依赖一个图标、一项邮件认证结果或一次扫描给出安全结论。 **趋势背景** 恶意文件格式、邮件客户端拦截规则和平台防护会持续变化，但意外来信、双扩展名、主动内容、加密压缩包，以及要求关闭安全控制才能打开文件，仍是跨平台长期有效的警告信号。 **实用价值** 读者可以在下载前停止操作，通过可信渠道核实请求，识别扩展名与 MIME 冲突，并为高风险文件选择受管隔离环境，而不会把附件元数据或阴性扫描误当成安全证明。 即使文件名普通、邮件使用熟悉标志，或者发件域名通过了邮件认证，附件仍可能危险。下载前先判断文件是否符合预期、请求能否独立核实，以及准备使用的设备与软件是否适合承担风险。 Once Email 可以接收附件，但不能发信，也不声称为附件提供恶意软件扫描。页面显示的文件名、MIME 类型和下载链接只是描述性元数据，不是安全结论。 ## [多大的附件还能接收？]() Once Email 的收信入口会拒绝超过 10,240,000 字节（约 9.77 MiB）的整封邮件。这个数字包含正文、邮件头和编码后的附件。Base64 封装通常会让附件增大约三分之一，因此接近 10 MB 的原文件无法装入。为了提高投递成功率，普通文档建议单个不超过 5 MiB，并给正文和邮件头留出空间；这是保守建议，不承诺每个发件服务或投递路径都必然成功。 大小限制不是安全检查。Once Email 目前不为附件颁发“无病毒”结论。PDF、纯文本、CSV 和办公文档仍可能含有恶意链接、宏或畸形内容；可执行文件、脚本、磁盘映像、加密压缩包和启用宏的文档不应在这里打开。文件不符合预期时不要下载；确实符合预期时，也应使用设备上已更新的安全软件或组织批准的扫描服务。ClamAV 官方文档也说明恶意软件检测是可配置的扫描层，并不能解包所有格式或变体，因此阴性结果只能降低已知风险，不能证明安全。 Google 会阻止多类可执行格式、恶意宏和加密压缩包；微软则建议通过独立可信渠道核实意外附件。这些措施都是防护层，但熟悉的扩展名或一次未检出结果都不是安全证明。 ## [1. 附件不在预期内就先停止]() 问清楚什么真实事件应该产生这个文件：你是否请求过导出、申请过材料、创建过支持工单，或事先约定对方发送？紧迫语气不是证据。意外发票、快递通知、简历、法律威胁或“安全报告”，即使主题看似合理也应先视为未核实。 微软的[网络钓鱼防护指南]() 建议不要打开可疑链接或意外附件，并通过官方联系方式联系机构。发件账号本身可能已被入侵，因此不要直接回复原邮件询问真假；应使用自己已知可信的电话、应用或网站。 如果无法解释文件为何出现，最安全的下载就是不下载。 ## [2. 通过独立渠道核实发件人]() 显示名可以复制，From 地址可以伪造，真实账号也可能被盗。SPF、DKIM 和 DMARC 提供域名层面的有用证据，却不能证明发件人的意图或附件内容。 重要文件应在既有对话或已知联系方式中向对方确认，询问用途和预期文件名，不要索要密码或秘密。声称来自公司的文档，应独立打开其官方应用或网站，不要沿用同一封邮件中的链接。 邮件认证通过永远不能替代这一背景核实。 ## [3. 查看完整文件名，不要只看图标]() 在操作系统中显示完整文件名和扩展名。攻击者可以利用超长名称、重复空格、从右到左字符或多个扩展名，让可执行文件看起来像文档。` statement.pdf.exe ` 仍然是可执行文件。 安装包、脚本、快捷方式和磁盘映像等可执行或可编程格式风险较高。Office 文档和 PDF 也并非天然安全，它们可能包含主动内容、链接或触发解析器漏洞的畸形数据。压缩包可以隐藏真实类型，加密压缩包还可能专门用来阻止邮件服务检查内容。 不要通过改名强行打开被阻止的文件。客户端警告意味着应向发件人或安全团队核实交付方式，而不是寻找绕过办法。产品的阻止列表也不是完整的恶意软件清单。 ## [4. 比较元数据，但不能只相信元数据]() 邮件可能声明 ` application/pdf `，实际字节却是其他格式；文件扩展名和 MIME 都可能错误或被故意伪造。大小也不能证明安全，小脚本同样可能有害。 元数据适合发现矛盾，不适合颁发安全证明。如果预期 PDF 却显示为可执行文件，或对方说发送一张图片而邮件里出现加密压缩包，应立即停止并核实。Once Email 展示的是收到的附件信息，不保证它与真实格式一致。 ## [5. 保存或打开前先保护设备]() 保持操作系统、浏览器、文档阅读器和安全软件更新。保存时不要自动打开，并使用设备或组织批准的安全控制扫描，遵守隔离警告。 扫描未发现问题只能降低已知风险，不能证明文件安全；新型或定向恶意程序可能尚未被识别。在线扫描服务还可能保存或分享样本，未经授权不要上传合同、个人记录、源码压缩包或客户文件。 高风险且确有授权的分析应使用组织管理的隔离环境并让安全团队参与。个人电脑、生产服务器或保存重要凭证的设备都不是恶意软件实验室。不要为了“看看会发生什么”执行可疑文件。 ## [6. 重新判断是否真的需要附件]() 很多正规服务会在登录后的门户中提供同一文档。从已知应用重新下载，通常比打开邮件附件更可控。也可以询问纯文本摘要、受保护文件共享或重新生成的导出能否满足需求。 若附件只是验证码或临时记录，只保存必要信息并遵守保留要求。完整 ` .eml ` 或邮箱导出可能携带无关邮件头、令牌和个人资料，处理方式可参考[邮件测试证据指南]() 。 ## [7. 报告可疑邮件，但不要扩散文件]() 优先使用邮件服务的钓鱼或滥用举报功能；工作环境按安全团队渠道报告。不要随意把可疑附件转发给同事，转发会产生更多副本和误开机会。 只记录最小信息：到达时间、声称的发件人、为何不符合预期、文件名和客户端警告。放入广泛可见工单前，移除收件地址、令牌和内部标识符。原始邮件只能按获准的事件处理流程保存。 如果已经打开文件且设备行为异常，应按组织要求停止敏感操作并联系安全支持。不要隐瞒，也不要一边自行调查一边继续输入密码。 ## [下载决定]() 只有当文件符合预期、发件人已经通过可信渠道核实、完整文件名和格式可以解释，并且有合适且已更新的处理环境时才下载。遇到无背景的紧迫要求、类型与请求冲突、客户端阻止或必须削弱安全控制才能继续时，应停止。 附件成功到达只能证明投递，不能证明安全。这份清单的目标不是预测所有恶意文件，而是避免把未经核实的邮件变成你所重视设备上的代码或主动内容。 ## [做出安全下载决定之后]() Once Email 只负责接收并交付附件，不预览或解压文件、不检查压缩包内部，也不把附件交给在线解压服务。需要整理多个符合预期的压缩包时，使用[本地 UnpackFlow 批量实战指南]() 。指南把浏览器下载、本地计划、结果核验、源包清理和邮箱删除保持为独立决定；缺卷、损坏、有密码或未核验时必须保留源包。 ## 相关文章 不打开链接，如何检查邮件链接与追踪像素 在浏览器本地检查邮件 HTML 中的危险协议、嵌套跳转、误导域名、远程图片和追踪像素线索，不渲染消息。 [不打开链接，如何检查邮件链接与追踪像素]() 邮件验证码安全指南：复制前先确认，使用后及时清理 把邮件验证码当作短时有效的秘密：确认请求由你发起，核对目标域名，只复制验证码，并在操作完成后清理剪贴板。 [邮件验证码安全指南：复制前先确认，使用后及时清理]() 邮件附件太多？使用 UnpackFlow 在本地批量解压和整理 把附件下载到独立目录，核对浏览器保存结果，再在本地按 list、plan、run 或 start 处理分卷与嵌套压缩包。 [邮件附件太多？使用 UnpackFlow 在本地批量解压和整理]() ## 使用相关工具 邮件附件大小预算器 发送邮件前，估算附件经过 Base64 编码和 MIME 打包后可能占用的体积。 [邮件附件大小预算器]() [如何阅读 Received 邮件头并还原邮件投递路径 按正确顺序阅读 Received 字段，谨慎比较时间戳，并理解主机名、IP 地址、时钟偏差与不可信追踪信息的证据边界。]() [以隐私为先的邮箱注册决策树 通过检查账号恢复、付款、记录、回复和网站政策，在长期邮箱、转发别名和只收不发的临时邮箱之间选择。]()