邮件端到端加密选 S/MIME 还是 OpenPGP？两者的信任模型差在哪里？

S/MIME（RFC 8551）与 OpenPGP（RFC 4880，MIME 封装见 RFC 3156）都提供邮件的端到端签名与加密，都工作在邮件内容层，因而都独立于传输层的 TLS。真正的分野在信任模型：S/MIME 基于 X.509 证书与证书颁发机构的层级式信任；OpenPGP 传统上采用去中心化的信任模型，公钥由用户之间相互签名背书。

S/MIME 使用 CMS 作为底层加密语法，签名与加密后的内容以 application/pkcs7-mime 承载，分离式签名则使用 multipart/signed 配合 application/pkcs7-signature。RFC 3156 定义的 PGP/MIME 使用 multipart/encrypted 配合 application/pgp-encrypted，签名使用 multipart/signed 配合 application/pgp-signature。两套格式互不兼容——收件方的客户端不支持对应格式时，看到的就是一个无法解读的附件。

S/MIME 的证书由 CA 签发，天然带有身份核验流程与吊销机制，适合已有 PKI 或能接受向 CA 采购证书的组织；代价是签发、续期、吊销都需要流程支撑。OpenPGP 无需 CA，密钥可自行生成，起步成本低；但「如何确认这把公钥确实属于对方」这一问题被交还给用户自己解决，在跨组织、大规模场景下这恰恰是最难规模化的一环。

如果加密范围主要在组织内部、或在少数有明确合作关系的伙伴之间，且已有或愿意建设 PKI，S/MIME 通常更合适——证书可随身份系统统一签发与回收，主流邮件客户端的原生支持面也更广。如果通信对象分散、跨组织且无法建立统一 CA，例如面向外部研究者或公众的接收渠道，OpenPGP 的去中心化特性反而更现实。

第一，密钥或证书如何吊销、吊销后如何让对端及时知道；第二，加密邮件如何满足留存与审计要求——端到端加密意味着服务端看不到明文，内容过滤、归档检索与合规调阅都会受影响，需要事先设计密钥托管或网关侧解密方案；第三，用户丢失私钥后历史邮件如何恢复。这三个问题不解决，加密上线后极易造成数据不可读。

S/MIME 与 OpenPGP 保护的是内容本身，覆盖存储与中转全过程，但通常不隐藏信封与头部信息；TLS 保护的是逐跳的传输链路，能覆盖信封，但每一跳的服务器都能看到明文。两者是互补关系而非替代关系——不应因为部署了端到端加密就放松传输层的强制 TLS 要求。