为什么 sendmail 在标题中添加额外的回车符？

Question

我在 CentOS 5 服务器上运行了 SendMail 8.14.4。

日本的一个用户正在发送一条消息，当它被服务器处理时，SendMail 出于某种原因添加了一个额外的回车。

电子邮件包含一个 X 标头，其值（大概）包含国际字符。我说“大概”是因为当我用记事本++检查 MIME 源时，我看到了像STX和 之类的奇怪现象CAN。

我已经能够将测试范围缩小到这个：

如果我通过 Sendmail 发送它，它最终将 SendMail 保留为：

（ips、Q-ID 和主机名已更改以保护无辜者）

现在显然这里有一个潜在的危险信号：标题值以引号开头，但没有结束语。这是 RFC 标准所要求的吗？或者那部分是红鲱鱼？

最终结果是标头值泄漏到消息正文中：

关于为什么 sendmail 添加额外回车的任何想法？

Answer 1

这实际上非常简单：RFC 2822 第 2.2.3 节允许长标头，其中标头是一个字段名，后跟 a:折叠并在下一行继续，只要（简化）下一行以空格开头。

一般规则是，只要该标准允许折叠空白（不仅仅是 WSP 字符），CRLF 就可以插入任何 WSP 之前。例如，header field:
Subject: This is a test
可以表示为：

Subject: This  
 is a test

原始输入的第 3 行不是以空格开头，而是以字符开头，c并且不包含冒号:，这使得它既不是前一个标题也不是下一个标题字段的延续（第 2.2 节）。

这将其标记为标题的结尾...

和身体的开始。

Sendmail 会“更正”该格式错误的邮件，并在它认为是标题的结尾和正文的开头之间添加所需的空行。

一个简单的 telnet 邮件会话可以重现该行为：

[user@example ~]$ telnet localhost 25
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.

<<< 220 example.com ESMTP Sendmail 8.14.4/8.14.4; Fri, 17 Jul 2015 20:29:26 +0200

helo localhost

<<< 250 example.com Hello localhost [127.0.0.1], pleased to meet you

mail from:me@localhost

<<< 250 2.1.0 me@localhost... Sender ok

RCPT TO:user@example.com

<<< 250 2.1.5 user@example.com... Recipient ok

data

<<< 354 Enter mail, end with "." on a line by itself

Subject: test
X-header: do not try
this at home

start the body
.
<<< 250 2.0.0 t6HITQXA020072 Message accepted for delivery
quit

这会导致与您的示例类似的消息：

[user@example ~/Maildir/new]$ cat 1437157845.20091_2.example.com

Return-Path: <me@example.com>
X-Spam-Checker-Version: SpamAssassin 3.3.1 (2010-03-16) on example.com
X-Spam-Level:
X-Spam-Status: No, score=-1.9 required=5.0 tests=ALL_TRUSTED,BAYES_00,
        MISSING_HEADERS autolearn=no version=3.3.1
Received: from localhost (localhost [127.0.0.1])
        by example.com (8.14.4/8.14.4) with SMTP id t6HITQXA020072
        for herman@example.com; Fri, 17 Jul 2015 20:30:06 +0200
Date: Fri, 17 Jul 2015 20:29:26 +0200
From: me@example.com
Message-Id: <201507171830.t6HITQXA020072@example.com>
Subject: test
X-header: do not try

this at home

start the body

在原始标题延续和正文的“新”开始之间增加了一行。