Spring Boot 应用在 ECS 中启动时触发 MailHealthIndicator 警告，提示 501 Syntax: HELO <hostname>，本质是 SMTP 连接阶段协议异常，而非 SES 发信配额或信誉问题；需优先排查客户端 SMTP 配置与网络环境。
spring boot 应用在 ecs 中启动时触发 `mailhealthindicator` 警告，提示 `501 syntax: helo
该警告看似指向 AWS SES 账户健康度（如高退信率、投诉率），但日志中明确的错误 501 Syntax: HELO <hostname> 是典型的 SMTP 协议层响应码，由邮件传输代理（MTA）返回，表明客户端在建立 SMTP 会话时发送的 HELO 命令格式不合法——这不是 SES 服务端拒绝发信的业务错误，而是底层连接握手失败的技术错误。
? 根本原因分析
javax.mail.MessagingException: 501 Syntax: HELO <hostname> 意味着 JavaMail（Spring Boot 默认使用的 javax.mail）在向 SES SMTP 服务器（如 email-smtp.us-east-1.amazonaws.com）发起连接后，执行 HELO 命令时未提供符合 RFC 5321 规范的有效主机名（如 HELO example.com），或传入了空字符串、非法字符、IP 地址（未加方括号）等。
常见诱因包括：
- Spring Boot 的 spring.mail.host 配置正确，但 spring.mail.properties.mail.smtp.helo 未显式设置或设为空；
- 应用运行在容器（Docker/ECS）中，JavaMail 自动探测的本地主机名（如 ip-10-0-1-123.ec2.internal）被 SES SMTP 服务器拒绝（部分 SMTP 服务对 .internal 域名敏感）；
- JVM 启动参数或系统属性覆盖了 java.net.InetAddress.getLocalHost().getHostName() 返回值，导致 HELO 值不可靠；
- 使用了过时的 javax.mail 版本（如 < 1.6.4），其默认 HELO 行为存在兼容性缺陷。
⚠️ 注意：SES 官方文档明确指出，501 Syntax 类错误属于 SMTP 协议错误，与账户“健康度”（bounce/complaint rate）、验证状态、沙箱限制等完全无关。SES 不会因信誉问题返回 501，只会返回 550（如 Email address not verified）或 454（临时认证失败）等业务级响应。
✅ 正确解决方案
1. 显式配置 HELO 主机名（推荐）
在 application.yml 或 application.properties 中强制指定合规的 HELO 值：
spring:
mail:
host: email-smtp.us-east-1.amazonaws.com
port: 587
username: YOUR_SMTP_USERNAME
password: YOUR_SMTP_PASSWORD
properties:
mail:
smtp:
auth: true
starttls:
enable: true
# 关键：显式设置合法 HELO 域名（建议使用已验证的域名）
helo: your-verified-domain.com
# 可选：禁用自动探测，避免取到无效主机名
allow8bitmime: true✅ 合法 HELO 值要求：必须是有效的 DNS 可解析域名（如 example.com），不能是 IP 地址、localhost、空字符串或内部 EC2 域名。最佳实践是使用您已在 SES 中验证的发信域名。
2. 升级并锁定 JavaMail 依赖
确保使用 jakarta.mail（JavaMail 2.0+）或较新 javax.mail（≥ 1.6.4）。Spring Boot 3.x 默认使用 jakarta.mail，若使用旧版，请在 pom.xml 中显式声明：
<dependency> <groupId>com.sun.mail</groupId> <artifactId>smtp</artifactId> <version>2.0.1</version> <!-- Jakarta Mail 2.x --> </dependency>
3. 验证 ECS 网络与 DNS 可达性
在 ECS Task 内执行诊断命令（可通过 aws ecs execute-command）：
# 测试 SMTP 连通性 telnet email-smtp.us-east-1.amazonaws.com 587 # 检查 DNS 解析是否正常（确保能解析 HELO 域名） nslookup your-verified-domain.com # 查看容器内主机名（确认是否为 internal 域名） hostname
若 hostname 返回 ip-*.ec2.internal，则必须通过 spring.mail.properties.mail.smtp.helo 覆盖，不可依赖自动探测。
4. 关闭健康检查（临时绕过，不推荐生产）
如仅为避免启动日志干扰，可禁用邮件健康指示器：
management:
health:
mail:
show-details: never但此操作掩盖真实问题，不解决根本连接缺陷，可能导致后续发信静默失败。
? 总结与避坑提醒
| 误区 | 正解 |
|---|---|
| ❌ 认为 501 HELO 是 SES 账户被限 | ✅ 这是客户端 SMTP 协议错误，与 SES 账户状态无关 |
| ❌ 盲目检查 bounce/complaint 指标 | ✅ 先抓包或启用 mail.debug=true 查看实际 HELO 发送内容 |
| ❌ 在容器中依赖 hostname 自动获取 | ✅ 必须显式配置 mail.smtp.helo 为可信域名 |
| ❌ 忽略 JavaMail 版本兼容性 | ✅ 使用 Jakarta Mail 2.x 或 javax.mail ≥ 1.6.4 |
最后，启用调试日志快速定位问题：
logging:
level:
org.springframework.boot.actuate.mail: DEBUG
com.sun.mail.smtp: DEBUG启动后观察 DEBUG 日志中 >>> HELO xxx 行，即可确认实际发送的 HELO 值是否合规。
修复后，MailHealthIndicator 将成功完成 SMTP 连通性校验，警告消失，且应用具备稳定发信能力。
