☤CaduceusMail 3.6.7

收件箱可靠性优化引擎：自动强化发件人信任机制、轮换身份标识，并构建可扩展的外联/支持流程，确保您的邮件不被归入垃圾邮件文件夹。

☤CaduceusMail 是一项即用型技能（shippable skill），可在单一 Microsoft 365 邮箱与 Cloudflare DNS 区域之上，实现企业级别别名/域名管控能力。

本技能内嵌经审计的 caduceusmail 发布制品（release artifact），并提供 OpenClaw 技能适配器。该适配器在无运行时 npm fetch 的前提下，统一管理 M365 与 Cloudflare 的邮件及 DNS 配置。

此技能的作用

本技能是独立 caduceusmail 包的一个轻量级封装适配器。首次使用时，该封装器将执行以下操作：

1. 依据 vendor/caduceusmail-release.json 中锁定的 SHA-512 完整性校验值，验证内嵌 tarball 的完整性
2. 将经审计的发布版本解压至技能专属缓存目录：~/.local/share/caduceusmail-skill/toolchains
3. 以受限环境变量及仅属主可访问权限的方式运行 CLI，并对运行时状态目录施加所有权限制

它不会在运行时从 npm 获取代码、不会安装全局包，亦不会执行任何 npm 生命周期脚本。

首要操作

在执行任何高风险操作前，请先通过安全封装器运行诊断命令（doctor）。

bash {baseDir}/scripts/run.sh doctor --json

快速入门

bash {baseDir}/scripts/run.sh bootstrap 
  --organization-domain "example.com" 
  --mailbox "ops@example.com" 
  --bootstrap-auth-mode device

初始化后日常无头运行

bash {baseDir}/scripts/run.sh bootstrap 
  --organization-domain "example.com" 
  --mailbox "ops@example.com" 
  --skip-m365-bootstrap

通道（Lane）运维操作

bash {baseDir}/scripts/run.sh provision-lane 
  --mailbox "ops@example.com" 
  --local "support" 
  --domain "support-reply.example.com"

bash {baseDir}/scripts/run.sh verify-lane 
  --mailbox "ops@example.com" 
  --alias-email "support@support-reply.example.com" 
  --domain "support-reply.example.com"

bash {baseDir}/scripts/run.sh retire-lane 
  --mailbox "ops@example.com" 
  --alias-email "support@support-reply.example.com"

硬性规则（Hard Rules）

• 禁止单次操作中发送群组邮件
• 禁止单条消息一次性发送给多个收件人
• 将 no-reply 类型通道视作明确设计为不可接收邮件的身份标识（无 MX 记录 + SPF 策略配置为 -all）
• 默认删除行为具备“回复安全”特性：别名退役时保留回退连续性，除非显式执行强制移除

本技能支持的功能

• 初始化 Graph 与 Exchange 认证基线
• 通过 OpenClaw 网关/浏览器钩子，将 Microsoft 设备登录流程移交至 VPS/SSH 环境
• 审计凭证与 DNS 配置基线
• 优化根邮件记录（root mail records）
• 在子域名下配置 reply 与 no-reply 类型通道
• 验证通道就绪状态
• 以保障回复连续性的方式退役通道
• 生成态势感知快照（awareness snapshots）及机器可读的状态制品（state artifacts）

OpenClaw 运行时模式

优先通过 skills.entries.caduceusmail.env 注入密钥，而非直接编辑配置文件。参见 examples/openclaw.config.json5。 该封装器仅转发 CaduceusMail/OpenClaw/M365/Cloudflare 所需的环境变量，以及终端/无头模式提示信息；因此，默认情况下不会透传主机上其他无关密钥。 外部脚本解析功能默认禁用；仅当显式设置 CADUCEUSMAIL_ALLOW_EXTERNAL_SCRIPT_RESOLUTION=1 时才启用。

安全与权限披露

本技能按设计执行高权限操作：

• Microsoft Graph 应用角色授权（app role grants）
• Exchange 服务主体（service principal）及其 RBAC 角色分配
• Exchange 已接受域名（accepted-domain）调优（启用可选标志时）
• Cloudflare DNS 记录变更（用于通道相关记录）

运行时状态制品写入 ~/.caduceusmail/intel 目录，且仅限属主可访问。底层工具中环境变量/密钥的持久化为可选行为；若存在已持久化的 env 文件，则预期其仅对属主可读。

请遵循最小权限原则：使用专用 Entra 服务主体（scope 限定于所需的 Graph/Exchange 角色），以及仅拥有目标 Cloudflare zone DNS 权限的令牌。