DKIM多部分邮件Body Hash验证失败问题求助

1. 确认MTA是否真的修改了邮件 #

• 抓包对比原始邮件：用tcpdump捕获MTA接收端口（如25端口）的原始SMTP流量，提取刚收到的完整邮件；再取出MTA存储后的邮件文件（比如Postfix队列目录下的文件、Dovecot的邮件存储），逐字节对比两者的Body部分，定位差异点。
• 检查MTA配置项：
  • Postfix：查看body_checks、header_checks、content_filter是否启用了内容转换规则；确认mime_header_checks是否有修改Multipart边界的配置。
  • Dovecot：检查sieve脚本是否存在修改邮件内容（如添加签名、转换格式）的规则。

2. 针对MTA修改的常见场景修复 #

• 换行符转换问题：部分MTA会自动将LF转为CRLF或反之，即使DKIM松弛模式允许转换，也可能因处理逻辑不一致导致哈希不匹配。在MTA中禁用自动换行转换，比如Postfix设置smtputf8_enable = no（无需UTF-8支持时），或关闭相关内容过滤规则。
• 额外内容插入（如免责声明）：将带DKIM签名的邮件排除在修改规则外。比如Postfix的header_checks中添加规则：

  /^DKIM-Signature:/   OK
  

  匹配到DKIM签名头的邮件跳过后续修改；Sieve脚本中用header :exists "DKIM-Signature"判断，若存在则不执行内容修改操作。
• Multipart边界重写：MTA若重新生成Multipart边界字符串，会直接破坏Body哈希。需禁用MTA的Multipart重写功能，比如Postfix删除mime_header_checks中涉及修改边界的规则。

3. 校验DKIM Body规范化逻辑 #

• 用抓包得到的原始邮件Body，按照RFC 6376 §3.4.4松弛模式重新计算哈希：

  松弛模式规则：移除Body末尾所有空白行；将所有行尾换行统一为CRLF；合并连续的空白行为一行；移除每行末尾的空白字符（空格、制表符）。
  确保处理Multipart邮件时，是对整个原始Body（包括边界、子部分的头和内容）进行规范化，而非仅处理子部分内容。

• 调试jdkim库的验证流程：对比库的规范化步骤与你的脚本是否一致，排查是否有遗漏的处理环节（比如Multipart子部分的编码处理、空白字符的判断逻辑）。

4. 绕过MTA修改的替代方案 #

• 提前验证：在MTA修改邮件前完成DKIM验证。比如Postfix使用smtpd_proxy_filter，将刚接收的邮件转发至自定义验证服务，验证完成后再交给MTA处理。
• 利用l=标签：若MTA仅修改邮件末尾内容，可要求发件方在DKIM签名时添加l=参数（指定Body哈希计算的长度），仅对前N字节的Body进行哈希，避开MTA修改的部分。

内容的提问来源于stack exchange，提问作者user20984154