Postfix 如何用 per-destination TLS 策略映射（tls_policy_maps）控制按目标域的 TLS？

在 main.cf 设 smtp_tls_policy_maps = hash:/etc/postfix/tls_policy（或 lmdb/cidr），表中每行形如 [mx.example.com] encrypt 或 example.com secure match=nexthop，按目标域（或目的 IP/主机）声明 TLS 要求。

none（不强制）；may（opportunistic，能加密就加密）；encrypt（必须加密，否则不发送）；secure（必须加密且证书需匹配）；dane（基于 DNS 的 DANE TLSA 校验）；verify（证书需由信任 CA 签发并匹配主机名）。可附加 match=（校验主机名方式）、ciphers=（密码等级）等。

encrypt 可防止明文泄露，但无法防中间人；secure/verify/dane 进一步校验对端证书，适合与已知伙伴的邮件。Opportunistic（may）是默认安全提升，不会因对方不支持 TLS 而丢信。