O3.04.2Weak sender and domain heuristics设计研究
域名与发件人是弱线索
别名: 发件人线索 · 域名判断 · sender domain heuristic
概念解释
弱发件人与域名启发式（weak sender and domain heuristics）指显示名、From 地址和链接域名只能贡献有限风险证据，不能独立证明消息安全。攻击者可伪造显示名、注册看似合理的域名或使用被攻陷的真实账户；合法消息也可能来自外包平台、跳转域名和陌生子域。
机制
人们常把熟悉品牌词或名称当作整体信任信号，而邮件客户端会截断地址、隐藏实际链接或突出可编辑显示名。简单培训规则如“陌生发件人就是钓鱼”会制造大量误报，并让使用真实账户的攻击绕过。线索的诊断价值取决于组织通信惯例、投递认证、对话历史和请求动作，不能脱离情境二元判断。
怎么研究
构造包含合法外包域、伪造显示名、被攻陷熟人账户和明显异常域名的平衡消息集，观察参与者如何加权字段。分别计算命中、漏报、误报和校准，并测试地址展开、链接预览和认证状态对判断的增量贡献。不能只选择低质量钓鱼样本，否则会高估单一线索效果。
边界
域名仍是有价值的调查输入，尤其当用户能将其与预期服务和已认证会话对照；异常也可触发额外检查。问题在于把它当作决定性真伪标签。企业允许名单同样可能过时或包含被攻陷服务，系统验证需要持续监测而非一次登记。
怎么落地
- 优先完整显示规范化发件地址和最终目标域名，避免品牌词遮蔽实际注册域。
- 将域名年龄、投递认证、账户异常和请求风险在后台组合，而非要求用户手工做全部技术判断。
- 对合法第三方发信预先在官方渠道说明名称、域名与任务范围，减少“陌生但合法”的噪声。
- 警告描述“此域名未曾用于该流程”等可核验异常，不把单个字段直接标成安全或恶意。