PHP邮件头From与Return-Path设置失效问题排查

这个问题我之前处理过好几次，核心是邮件服务商的反伪造机制在起作用，再加上一些邮件头设置的误区，具体原因和解决办法如下：

主要原因 #

• SPF/DKIM验证失败：几乎所有主流邮件服务商（比如Gmail、Outlook）都会通过SPF和DKIM记录验证邮件的合法性。当你把From设为用户提交的邮箱时，相当于你的服务器在“冒充”用户的域名发送邮件，但你的服务器并没有被用户邮箱域名的SPF列表授权，邮件会直接被判定为伪造，要么被拒收，要么被扔进垃圾邮件箱。
• Return-Path设置无效且违规：Return-Path是用来指定退信接收地址的字段，这个字段通常由发送邮件的MTA（邮件传输代理）自动生成，手动设置不仅不会生效，还可能被服务器视为异常操作，导致发送流程中断。
• 邮件头格式可能不规范：PHP的mail()函数要求邮件头之间必须用\r\n作为分隔符，你代码里用的是单纯的换行（\n），虽然部分宽松的服务器兼容，但严格的服务器会因为格式错误拒绝处理邮件。

正确的解决方案 #

不要直接用用户邮箱作为From，而是保留你自己的合法邮箱作为发件人，同时添加Reply-To头指向用户的邮箱——这样收件人点击回复时，会自动回复到用户提交的地址，完美兼顾功能和邮件合法性。

修改后的邮件头代码如下：

$headers = "MIME-Version: 1.1\r\n";
$headers .= "Content-type: text/plain; charset=iso-8859-1\r\n";
$headers .= "From: noreply@example.com\r\n";
$headers .= "Reply-To: " . filter_var($email_sender, FILTER_VALIDATE_EMAIL) . "\r\n"; // 新增Reply-To，同时验证邮箱格式
$headers .= "Return-Path: noreply@example.com\r\n";

另外，一定要对用户提交的邮箱地址做合法性验证（比如上面用的filter_var函数），避免恶意输入破坏邮件头格式，引发安全问题。

内容的提问来源于stack exchange，提问作者Leandro Mont