MailHog邮件应用是否安全？VPS部署安全相关问题咨询

MailHog是专门为开发测试场景设计的邮件捕获工具，并非面向公网生产环境的邮件服务组件，本身安全基线较高：

• 目前项目核心逻辑稳定，无公开的高危安全漏洞，和你查询到的安全公告为空的情况一致
• 默认配置下所有捕获的邮件仅存储在内存中，服务重启后数据自动清除，不会残留测试数据
• 原生支持HTTP基础认证能力，可直接为SMTP接口、Web管理界面配置访问权限，无需额外依赖

• 严格限制访问范围：默认MailHog会占用1025（SMTP）、8025（Web管理端）两个端口，必须通过VPS防火墙（iptables/ufw）或云服务商安全组限制访问IP，仅允许业务需要的IP段访问，禁止开放0.0.0.0/0全公网访问
• 强制开启身份认证：启动服务时通过环境变量MH_UI_USER、MH_UI_PASS配置Web界面的登录账号密码，同时配置SMTP接口认证，避免未授权用户访问邮件内容
• 使用低权限用户运行：不要用root账号启动MailHog，单独创建无额外权限的系统用户运行服务，降低极端情况被入侵后的影响范围
• 非必要不开启持久化：如果没有长期留存测试邮件的需求，不要配置磁盘持久化存储，所有邮件存放在内存中，服务重启自动清空，避免敏感测试邮件泄露
• 禁止作为生产邮件服务使用：MailHog没有生产邮件服务必备的反垃圾、TLS强制校验、SPF/DKIM校验等安全能力，仅可在内网/受控测试环境使用，不可对外提供公网生产邮件服务
• 定期更新版本：长期部署时定期同步官方最新稳定版，修复潜在的安全问题，升级无需复杂配置，直接替换二进制文件重启即可

内容的提问来源于stack exchange，提问作者Leearn2303