关于仅用邮箱地址实现邮件签名加密及证书使用的技术咨询

• 仅靠邮箱地址能否发送加密签名邮件？
  不行。加密环节需要收件人的公钥来加密内容，只有收件人的私钥才能解密；签名环节需要发件人的私钥证书来完成身份认证和防篡改。只知道邮箱地址的话，无法获取收件人的公钥，根本没法完成加密操作。

• 是否仅需发件人证书即可？
  不是。发件人证书仅用于签名，让收件人能验证邮件确实来自你且未被篡改。但加密必须要有收件人的公钥证书——加密是用收件人的公钥加密内容，只有对应私钥的持有者（也就是客户本人）才能解密。你之前用同一证书给自己发邮件成功，是因为你同时持有该证书的公私钥，既可以签名又能解密，但发给外部客户就不适用了。

• 每个收件人都需要单独的CmsRecipient证书吗？
  对的。每个收件人的公钥证书都是唯一的，CmsRecipient需要绑定对应收件人的公钥证书，这样才能用该收件人的公钥加密内容，确保只有他能解密。如果有多个收件人，就得为每个收件人创建对应的CmsRecipient实例，传入各自的证书。

• 公司是否需要为每位客户的邮箱创建/收集证书？
  不需要替客户“创建”证书，但需要收集客户的公钥证书。客户需要自行生成公私钥对，并把包含公钥的证书提供给你（或者通过公开的证书目录共享）。绝对不能替客户创建证书，因为私钥必须由客户自己保管，否则加密的敏感数据就失去了安全性——如果你持有客户的私钥，你也能解密发给客户的邮件，这违背了加密的初衷。

内容的提问来源于stack exchange，提问作者zesaro