通过Gmail API发送DKIM签名邮件时出现body hash验证失败问题

核心问题分析 #

通过Gmail API发送DKIM签名邮件时，出现dkim=neutral (body hash did not verify)错误，但域名DKIM配置有效，且AWS SES等服务商可正常通过验证。问题根源通常是Gmail在处理邮件时对邮件体做了细微修改，或签名/编码过程中出现了字节不一致。

具体解决思路 #

1. 切换到Relaxed模式的Body规范化算法 #

Gmail可能会调整邮件体的换行、空格格式，Simple模式对格式变化非常敏感，改用Relaxed模式可兼容这些细微修改：

DkimSigner signer = new DkimSigner(memory, domain, selector)
{
    HeaderCanonicalizationAlgorithm = DkimCanonicalizationAlgorithm.Simple,
    BodyCanonicalizationAlgorithm = DkimCanonicalizationAlgorithm.Relaxed, // 改为Relaxed模式
    QueryMethod = "dns/txt",
};

2. 修正邮件内容的Base64Url编码方式 #

当前代码通过mimeMessage.ToString()转字符串再编码，容易引入编码差异。直接使用MimeMessage的原始字节流进行编码：

// 替换原有的finalmessage.Raw生成逻辑
using var ms = new MemoryStream();
mimeMessage.WriteTo(ms);
ms.Position = 0;
var messageBytes = ms.ToArray();
finalmessage.Raw = Base64UrlEncode(messageBytes);

// 调整Base64UrlEncode方法直接接收字节数组
private static string Base64UrlEncode(byte[] inputBytes)
{
    return Convert.ToBase64String(inputBytes)
      .Replace('+', '-')
      .Replace('/', '_')
      .Replace("=", "");
}

3. 扩展DKIM签名的Header范围 #

仅签名From头会增加验证风险，需包含所有关键邮件头，确保Gmail修改未签名头时不影响验证：

signer.Sign(mimeMessage, new HeaderId[] { 
    HeaderId.From, 
    HeaderId.Subject, 
    HeaderId.To, 
    HeaderId.Date, 
    HeaderId.MessageId, 
    HeaderId.ReplyTo,
    HeaderId.ListUnsubscribe,
    HeaderId.ListUnsubscribePost
});

4. 验证Gmail对邮件体的修改 #

发送测试邮件到自己的邮箱，对比签名前的邮件体和Gmail投递后的邮件体：

• 用MimeKit分别解析原始签名邮件和收到的邮件
• 计算两者邮件体的SHA-256哈希值，确认差异点
• 若发现Gmail修改了换行符（如LF→CRLF），Relaxed模式通常能兼容这种情况

额外注意事项 #

• 确保mimeMessage.Prepare(EncodingConstraint.SevenBit)执行正确，避免编码格式冲突
• 检查私钥加载是否正确，需包含完整的-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----标识

内容的提问来源于stack exchange，提问作者Geovanni Gonzalez