概述

一封邮件从发件方到达收件方往往经过多个中继，每一跳都可能独立执行 SPF、DKIM、DMARC、ARC 等认证。RFC 8601 定义了 Authentication-Results 头字段，让每个处理节点把"本节点对这封邮件的认证结论"以统一格式写进信头，供后续节点或最终收件方消费。它不负责执行认证，只负责承载与传递认证结论，是邮件安全网关串联多层检测的事实标准。

核心语法

头部由负责认证的"authserv-id"（通常是接收方主机名）、方法（method）、结果（result）和若干属性（property）组成：

Authentication-Results: mail.example.com;
  spf=pass (sender IP is 192.0.2.10) smtp.mailfrom=example.net;
  dkim=pass (1024-bit key) header.d=example.net header.s=sel;
  dmarc=pass header.from=example.net

常见方法包括 spf、dkim、dmarc、arc、iprev；结果取值含 pass/fail/softfail/neutral/none/temperror/permerror。RFC 8601 明确要求结果中对"comment"与"reason"的滥用保持克制，避免泄露过多内部策略。

为什么需要 authserv-id

互联网上任意中继都能添加 Authentication-Results 头，若不加区分地信任，攻击者可伪造"认证通过"。RFC 8601 通过 authserv-id 划定信任边界：只有本地信任区间内的节点写入的结论才被采信，外部传入的同类头应在网关入口被剥离或重命名（如加 (original) 前缀）。这正是邮件安全网关接入时的关键处理点。

与 DMARC/ARC 的协作

DMARC（RFC 7489）依赖 SPF 或 DKIM 的对齐结论，而这些结论正来自 Authentication-Results；ARC（RFC 8617）则把"上一跳的认证结论"原样封存进 ARC-Authentication-Results，使合法中转不破坏信任链。理解 RFC 8601 的字段语义，才能正确解读 Microsoft 的 compauth、Postfix/OpenARC 的 ARC 封印等实现。

对信创邮件与网关的启示

在信创邮件替换与 Exchange 迁移中，新邮件系统向外投递时，入站网关应：① 在边界剥离不可信的 Authentication-Results；② 基于本地 SPF/DKIM/DMARC 结论重新写入；③ 将结果暴露给反钓鱼与内容策略引擎。RFC 8601 是这套"认证结论总线"的骨架。