SPF宏系统概述

SPF宏（Macros）是RFC 7208 §7中定义的一套强大但常被忽视的语言特性。宏允许SPF策略在运行时动态替换发送方的身份信息，使得单一策略可以覆盖多种邮件路径场景。每个宏以百分号（%）开始，后跟字母标识符。宏的求值发生在SPF查询时，由接收MTA的SPF验证引擎动态计算。

RFC 7208 §7.1定义了11个标准宏字母：s（sender）、l（localpart）、o（domain）、d（domain，当前查询域）、i（IP地址）、p（validated domain）、v（VRFY信息）、h（HELO域）、c（client IP的字符串形式）、t（当前时间戳）、r（收件方主机名）。理解这些宏的替换规则，是掌握SPF高级用法的前提。

宏语法与扩展规则

基本宏替换

宏替换的基本语法为 %{letter}。当SPF验证引擎遇到宏表达式时，根据当前SMTP会话的上下文环境替换为对应的实际值。

• %{s} — 替换为发件人邮箱（如 "user@example.com"）
• %{l} — 替换为邮箱本地部分（如 "user"）
• %{o} — 替换为邮箱域名（如 "example.com"）
• %{d} — 替换为当前SPF查询域名
• %{i} — 替换为发送方IP地址（如 "192.0.2.1"）
• %{h} — 替换为HELO/EHLO域名
• %{v} — 替换为IP版本（"in-addr"代表IPv4,"ip6"代表IPv6）

高级宏语法

宏支持以下高级修饰符：

• 宽度限定：%{lN} 将字符串截断为前N个字符
• 分隔符拆分：%{lN/} 以/为分隔符拆分后取前N个段
• 反向拆分：%{lN/M} 从右侧拆分后取前N段
• 默认值：%{l?default} 如果宏为空则替换为default
• 反向域名展开：%{ir}.%{v}._spf.example.com 将IP地址反向展开为DNS查询

# 示例：使用宏构建动态include
# 按发件域动态选择SPF策略
include:%{o}._spf.%{d}

# IPv4地址反向DNS
%{ir}.%{v}._spf.example.com
# 对IP 192.0.2.1展开为：1.2.0.192.in-addr._spf.example.com

# 宏条件判断（RFC7208 §8）
%{l}%{o}@%{d}  # 完整的发件人地址
%{ir}.%{vr}.%{v}._spf.exp
  # 多个嵌套宏用于复杂的DNS查找

条件宏与存在性测试

RFC 7208 §8定义了存在性测试（exists机制）与条件宏的配合使用。exists机制检查特定DNS记录是否存在，而宏则用于动态构造该DNS查询名。

# 按IP来源段做存在性检查
# 要求 /24 网段的反向DNS记录存在
exists:%{ir}.%{v}.%{d}._spf.%{d}

# 检查特定发送方域是否有授权记录
exists:%{o}._spf.%{d}

# 检查IP是否在特定代理池中
exists:%{ir}.spf.pool.example.com

邮件列表反制宏

在处理邮件列表转发场景时，SPF宏可用于识别被修改的From地址。

# 当列表修改From域时触发特定策略
redirect=%{lr}.%{l}.spf.example.com
# 对list+user@domain展开为：list_com.user.spf.example.com

# 基于发件域存在性的动态重定向
%{l}%{o}.spf.example.com
# 对用户a发件域为sub.example.com展开为：asub.example.com.spf.example.com

宏性能影响与限制

宏的使用会显著增加SPF验证的DNS查询次数。RFC 7208 §4.6.4规定SPF验证的DNS查询上限为10次（包含宏展开过程中产生的查询）。过度使用宏可能导致超出限制，返回permerror。

最佳实践建议：

1. 每个SPF记录中宏展开后的DNS查询控制在2-3次以内
2. 避免在include机制中嵌套宏展开多个子查询
3. 使用exists:宏时确保目标DNS记录设置合理的TTL（建议3600秒以上）
4. 记录宏展开过程中的DNS查询计数，用于性能监控和故障排查

实际部署示例

以下是利用宏实现多供应商邮件发送授权的典型SPF记录：

# SPF记录（DNS TXT）
example.com TXT "v=spf1 \
  mx \
  include:%{ir}.svc._spf.%{d} \
  include:%{l}._spf.sender.%{d} \
  exists:%{ir}._ip.%{d} -all"

# 条件宏：特定发件域使用不同的SPF策略
redirect=%{o}._policy.%{d}

# 当%{o}为marketing.example.com时查询marketing.example.com._policy.%{d}

同时，SPF宏最常见的用途之一是构建自定义的简化解释文本（exp修饰符）。RFC 7208 §8定义了exp=宏用于提供人类可读的SPF失败原因。

# exp解释的SPF记录
v=spf1 -all exp=explain._spf.%{d}

# explain._spf TXT记录
explain._spf TXT "您发件IP %{i} 不在 %{d} 的授权列表中，\
  请更新SPF记录或通过信任的邮件服务器发送。"
# 验证时，%{i}和%{d}被动态替换为实际值

SPF宏是一个被严重低估的功能。掌握宏机制，邮件系统管理员可以将原本需要数十条SPF记录管理的复杂邮件基础设施，简化为少量动态、可重用的SPF策略。