SPF记录验证中MX机制查询次数统计与第三方工具不符的技术咨询

我正在开发SPF记录验证工具，但统计的查询次数和MxToolbox、EasyDMARC等工具结果不一致。当前的C#代码实现如下：

if (directive.Mechanism == SpfMechanism.MX)
{
    _lookups++;
    
    // Lookup the MX records
    var records = _resolver.GetMXRecords(directive.MX);
    
    foreach (var record in records)
    {
        // Do an A lookup for the MX record
        _lookups++;
        
        // ...
    }
}

我不确定是否需要为每条MX记录的A查询都递增查询次数。

RFC中的相关描述：

check_host() 首先对执行MX查询。然后对返回的每个MX域名执行地址查询。将与返回的每个IP地址进行比较。为防止拒绝服务(DoS)攻击，必须遵循第4.6.4节中定义的处理限制。如果超出MX查询限制，则返回"permerror"并终止评估。如果任何地址匹配，则该机制匹配。

解答 #

首先明确：RFC 7208（SPF标准）的第4.6.4节规定了全局DNS查询上限为10次，这里的"查询"指所有触发的DNS lookup操作，包括MX查询和后续的A/AAAA查询。

关于计数的核心规则

• MX机制的MX查询本身必须计入次数（代码中第一次_lookups++是正确的）
• 每个MX记录域名的A/AAAA查询，都需要单独计入次数，但要符合两个限制：
  1. 仅处理MX查询返回的前10条记录（超出的部分直接忽略，避免DoS）
  2. 如果多个MX记录指向同一域名，只需要执行一次A/AAAA查询（重复查询不需要重复计数）

工具结果存在差异的原因

不同公开工具的计数逻辑有差异，常见原因包括：

• 部分工具仅统计MX查询本身，未将后续的A/AAAA查询计入总次数
• 部分工具会自动合并重复域名的查询，避免重复计数
• 部分工具未将AAAA查询（IPv6地址查询）纳入统计范围

合规的代码修正建议

要符合RFC标准，同时兼顾查询效率，代码可以调整为：

if (directive.Mechanism == SpfMechanism.MX)
{
    _lookups++;
    
    // 获取MX记录
    var records = _resolver.GetMXRecords(directive.MX);
    
    // 按照RFC限制，仅处理前10条MX记录
    var limitedMxRecords = records.Take(10).ToList();
    // 去重域名，避免重复查询和计数
    var uniqueMxDomains = limitedMxRecords.Select(r => r.Exchange).Distinct();
    
    foreach (var domain in uniqueMxDomains)
    {
        // 执行A查询并计数
        _lookups++;
        var aRecords = _resolver.GetARecords(domain);
        
        // 若需要支持IPv6，还要执行AAAA查询并计数
        // _lookups++;
        // var aaaaRecords = _resolver.GetAAAARecords(domain);
        
        // ...后续IP匹配逻辑
    }
}

如果需要和特定工具的统计结果对齐，需要先明确该工具的计数规则——但从标准合规性角度，严格遵循RFC的10次查询上限、统计所有DNS lookup操作才是正确的实现方式。

内容的提问来源于stack exchange，提问作者Indra