Rspamd正则表达式多图匹配在MIME编码显示名称中的问题分析

问题背景

在使用Rspamd进行邮件过滤时，正则表达式多图匹配(Regexp multimap)功能在处理某些特殊格式的邮件显示名称(display name)时可能出现匹配失败的情况。特别是当邮件发送方使用MIME编码的带引号显示名称时，例如AVM公司的FRITZ!Box和FRITZ!Repeater设备发送的自动摘要邮件。

技术细节

MIME编码显示名称格式

这类设备生成的邮件通常使用如下格式的From头字段：

From: "=?UTF-8?B?RlJJVFohQm94IDc1NjA=?=" <[e-mail]>

其中显示名称部分采用了MIME编码的Base64格式，解码后应为"FRITZ!Box 7560"。

配置示例

用户尝试通过以下Rspamd多图配置来匹配这类显示名称：

FRITZ_EMAIL_NAME {
        type = "header";
        header = "from";
        filter = "email:name";
        map = "file://$LOCAL_CONFDIR/local.d/maps/whitelist_fritz_email_name.map";
        regexp = true;
        one_shot = true;
        description = "FRITZ! display name whitelisted";
}

对应的正则表达式映射文件内容为：

/^FRITZ\!(Box|Repeater)/
/FRITZ/i
/^FRITZ\!/

问题原因分析

1. MIME标准兼容性问题：根据RFC标准，引号内的字符串不应进行MIME解码处理。这意味着Rspamd可能无法正确解码这类显示名称，导致正则匹配失败。

2. 规则处理顺序影响：当配置中存在直接"accept"动作的规则时(如IP白名单)，Rspamd可能在匹配到该规则后停止处理后续规则，导致显示名称检查被跳过。

3. 邮件客户端实现差异：某些设备(如AVM的FRITZ!系列)的邮件发送实现可能不完全符合标准，增加了匹配难度。

解决方案

推荐配置方式

1. 避免使用直接通过的规则：如必须使用IP白名单，建议改为评分调整而非直接accept动作。

2. 使用组合规则提高准确性：可以创建组合规则(composite)来综合多个特征判断：

FRITZ_BOX_WHITELISTED {
        expression = "FRITZ_MESSAGE_ID & FRITZ_EMAIL_NAME & FRITZ_EMAIL_FOOTER & SUBJ_EXCESS_BASE64 & FROM_EXCESS_BASE64 & MV_CASE & MIME_HTML_ONLY & MISSING_XM_UA"
        score = -2.0;
}

3. 利用邮件客户端特征：某些邮件客户端的非标准实现特征(如过多的Base64编码、缺少特定头字段等)反而可以作为识别依据，提高规则准确性。

最佳实践建议

1. 对于特殊邮件处理，建议采用评分调整而非直接放行
2. 组合多个特征判断比单一特征更可靠
3. 充分利用邮件客户端的实现特征(即使是"缺陷")作为识别依据
4. 测试时检查Rspamd日志确认规则是否加载
5. 使用rspamadm configtest验证配置文件语法

通过以上方法，可以有效地解决Rspamd在处理MIME编码显示名称时的匹配问题，同时提高规则系统的准确性和可靠性。