苹果Mail Privacy Protection邮件隐私保护功能的实际运行机制是什么？

我想要了解苹果推出的、看似能够阻断营销方追踪邮件打开行为的Mail Privacy Protection功能实际是如何运行的。

苹果在当日的主题演讲及官方博客文章中公布了Mail Privacy Protection功能：

在Mail应用中，Mail Privacy Protection可阻止发件人使用不可见像素收集用户信息。这项新功能可帮助用户避免发件人获知自己何时打开了邮件，同时屏蔽用户的IP地址，使其无法被关联到其他线上活动，也无法用于定位用户所在位置。

在相关行业分析文章中则提到了如下内容：

但在iOS 15、iPadOS 15和MacOS Monterey系统中，如果你使用苹果的Mail应用，你打开的任何邮件都会先经过中继服务器路由，由中继服务器加载所有跟踪像素后再将邮件发送给你。由于跟踪像素是在苹果的中继服务器上远程加载的，不会关联到你的IP地址，因此可避免发件人将其用作监视你的工具。

但这在实际落地时具体是如何实现的？

苹果仅在Apple Mail应用连接第三方邮件服务器时才能访问用户邮件（至少对绝大多数不使用苹果邮箱账户的用户而言是如此）。因此苹果可能会不定时拉取这些邮件，将所有图片下载到自己的服务器上。这意味着营销方使用的跟踪像素始终会被下载，进而导致：

• 从追踪方的视角看，所有邮件始终会被标记为“已打开”
• IP地址被匿名化（流量经过苹果的proxy/VPN传输）
• 地理位置被匿名化（原因同上）
• 打开时间被匿名化（苹果会自行决定何时下载图片）

当终端用户实际打开邮件时，图片会从苹果服务器加载。此时不会再请求原始跟踪像素，因此无法追踪该操作。

这一方案看起来可行，也完全符合苹果描述的功能效果。但我认为苹果实际上无法采用该方案，原因有二：

• 存储成本：苹果需要下载并存储用户收件箱内所有邮件的全部图片，无论用户是否真的会打开该邮件。这会产生极高的开销，带来巨额成本
• 部分动态图片内容会失效：如果苹果在某个时间点下载了图片，而用户在之后的其他时间点打开包含该图片的邮件，此时原始图片可能已经发生变更。动态图片有其实际用途，例如产品推荐、包裹跟踪等，苹果的该方案可能会破坏这类实用功能

因此我猜测苹果会转而通过中继服务器提供这些图片（本质上是通过其新的VPN服务代理图片请求）。这种方案仍然可以匿名化用户的IP和地理位置，但营销方依然可以追踪打开行为和打开时间。

另一种可选方案是苹果仅尝试识别跟踪像素并仅下载这类文件，但这会使得营销方可以利用邮件内其他现有图片来追踪邮件打开行为，留下漏洞。

希望了解大家对此的看法，谢谢！

内容的提问来源于stack exchange，提问作者Horen