Windows本地邮件安全需三步：选安全客户端（Outlook/Mail/Thunderbird）、配置加密协议与OAuth2认证、绑定系统mailto/.eml默认应用，并限制本地数据残留。
windows 本地用户配置安全的电子邮件客户端，核心是两件事：选对客户端 + 正确配置 + 关联系统协议。不是装上就能用，更不是默认就安全。关键在于防止凭据明文存储、避免协议被劫持、确保传输加密，并让系统所有邮件调用都走你信任的应用。
一、优先选用支持现代安全机制的客户端
本地用户应避开老旧或已停止维护的客户端（如 Outlook Express），推荐以下三类：
- Microsoft Outlook（需 Microsoft 365 或 Office 订阅）：自动启用 TLS 加密、支持 OAuth2 登录（不存密码）、集成 Windows Hello 双因素验证。
- Thunderbird（最新版）：默认启用 STARTTLS、支持 OAuth2（通过扩展如 “OAuth2 for Thunderbird”）、可手动禁用不安全的明文认证。
- Windows 自带 Mail 应用（仅限 Microsoft 帐户/Outlook.com/Exchange）：使用现代身份验证，不缓存密码明文，且与系统安全策略联动（如 BitLocker 加密邮箱缓存）。
不建议使用未签名、来源不明的第三方客户端，尤其那些要求输入密码并勾选“记住密码”的简易工具——它们很可能以明文或弱加密方式保存凭据。
二、配置时必须启用传输加密与安全认证
以 POP3/IMAP/SMTP 为例（适用于企业邮箱或自建邮箱），配置中需明确确认以下项：
- 收件服务器（IMAP/POP3）端口必须对应加密协议：
• IMAP → 端口 993（IMAPS）或 143 + STARTTLS
• POP3 → 端口 995（POP3S）或 110 + STARTTLS - 发件服务器（SMTP）同样强制加密：
• 端口 587（STARTTLS）或 465（SMTPS） - 禁用“允许不安全的登录”或“纯文本密码”选项（Thunderbird 和 Outlook 设置中常有此开关）。
- 若邮箱支持 OAuth2（如 Outlook.com、Microsoft 365、Gmail），务必选择该认证方式，而非输入密码——这样客户端只获得临时令牌，不接触真实密码。
三、绑定系统级邮件协议，防止被劫持
即使客户端本身安全，若系统未将 mailto: 链接、.eml 文件双击等行为指向它，用户可能无意中点击网页链接，却启动了不可信程序或暴露凭据。必须统一绑定：
- 打开「设置 > 应用 > 默认应用」
- 分别设置三项为同一可信客户端：
• “电子邮件”（用于系统邮件调用）
• “MAILTO”（用于网页 mailto: 链接）
• “.eml”（用于双击打开邮件文件） - 若目标客户端未出现在列表中，可通过「控制面板 > 默认程序 > 设置默认程序」手动勾选 MAILTO 协议；或用 PowerShell 运行
Set-StartApps -AppId "Microsoft.Outlook"（需先用Get-StartApps查到确切 ID）。
四、限制本地数据残留与权限
本地用户账户本身需具备基础防护，才能保障邮件客户端安全：
- 启用 Windows Hello 或强密码登录，避免他人直接进入系统访问邮件缓存。
- 在 Outlook 或 Thunderbird 中关闭“在服务器上保留副本”以外的本地存档冗余（如 Outlook 的 .pst 文件尽量不存敏感邮件全文）。
- 对于企业环境，管理员可通过 Intune 或组策略禁用客户端的“自动保存密码”功能，并强制启用“退出时清除临时凭据”。
不复杂但容易忽略。
