临时邮箱附件安全吗？一份按风险判断的清单
一次性邮箱能限制发送方以后继续联系你，但它不会检查文件、清除恶意代码、验证发件人，也不能保护打开附件的设备。
这一点尤其重要，因为临时邮箱经常用于陌生网站，而这恰恰是你最缺少背景信息、最难判断附件是否合理的场景。
TempMailer 不提供附件下载
TempMailer 当前只提取并显示邮件纯文本和经过沙箱限制的 HTML，不向用户提供邮件附件下载。这是明确的产品边界：服务用于接收短期验证码和确认链接，不是文件传输或文档存储邮箱。
如果正常业务必须接收附件，请使用具备恶意软件扫描、账号恢复和相应安全控制的长期邮箱。不要为了绕过附件限制，继续寻找另一个一次性收件箱。
看起来熟悉的扩展名不代表安全
攻击者可以用很多方式隐藏风险：
.exe、.scr、.js、快捷方式等可执行格式；- 包含宏、嵌入对象或外部模板的文档；
- 隐藏真实文件类型或使用密码逃避扫描的压缩包；
invoice.pdf.exe这样的双扩展名；- 内容和可见扩展名不一致的伪装文件；
- 会打开主动网页内容的 HTML 或 SVG；
- 一次打包多个文件的磁盘镜像和容器格式。
CISA 建议过滤经常用于恶意软件的文件类型，并谨慎处理加密压缩包，因为安全系统可能无法查看其中内容。任何扩展名黑名单都不可能永久完整。
先用背景信息判断，再谈扫描工具
第一道安全控制是确认这封邮件本来就应该存在。
依次询问：
- 我是否刚刚向这个具体服务请求过文件？
- 主题、发件域名和发送时间是否与操作吻合？
- 填写邮箱之前，网站是否明确说会发送附件？
- 能否手动登录已知官网，从账号页面下载同一文档？
- 发送方是否制造紧迫感，或要求关闭安全警告？
只要文件出乎意料，就先停止。CISA 建议通过另一个已知渠道联系机构或个人，而不是使用邮件里提供的链接、电话或回复地址。
快速判断表
| 场景 | 建议操作 |
|---|---|
| 意外收到发票、简历或快递通知 | 不打开，通过已知渠道核实 |
| 正文已经提供验证码 | 直接读文本，不需要附件 |
| 文档可以在账号后台获得 | 手动打开正式网站下载 |
| 密码压缩包，密码也写在同一封邮件 | 高风险，可能故意绕过扫描 |
| 重要工作确实需要文件 | 使用受管理邮箱和终端安全措施 |
| 发送方要求关闭防护 | 立即停止并报告邮件 |
确实需要处理合法文件时
所用环境应该与文档价值和风险匹配：
- 在自己长期控制、可审计的邮箱中接收；
- 更新操作系统、浏览器、文档阅读器和安全工具；
- 敏感文档通过另一个渠道确认发送者；
- 保留原始文件名和邮件背景，方便调查；
- 使用组织批准的方式扫描文件；
- 不因为文档提示就开启宏、主动内容、编辑模式或外部链接；
- 有条件时使用受限或隔离环境；
- 可疑文件应上报，不要转发给同事“帮忙看看”。
公开的多引擎扫描服务可能把样本共享给安全研究者或厂商。机密、受监管、私人或专有文件，未经明确许可不要上传。
压缩包需要额外谨慎
ZIP、RAR 可以包含多层不同格式。密码保护可能有合理用途，也可能让网关无法检查内容。陌生邮件把压缩包和密码写在一起，并不能建立信任。
解压前要确认为什么压缩、谁发送、里面应该有哪些文件，并让系统显示完整扩展名。不要运行某个文件只是为了“看看会发生什么”。
文档本身也可能包含主动内容
PDF、办公文档和图片通常比原生可执行文件风险低，但“通常”不等于绝对安全。复杂格式需要大型软件解析，漏洞和嵌入动作都可能被利用。应保持阅读器更新，并使用受保护视图。
宏、外部链接、登录表单，以及要求安装编解码器或浏览器扩展的提示，都应该被当作新的高风险动作。文件能正常打开，不能证明其中内容和链接可信。
开发者怎样测试附件流程
只测试自己有权控制的系统和文件。使用已知哈希、明确命名的无害样本，例如 test-invoice.pdf，覆盖大小限制、禁止格式、压缩包、重名文件、MIME 不一致和删除行为。
不要把真实客户文件发送到一次性地址，也不要通过公共邮箱服务测试恶意软件。安全测试应在经过授权的隔离环境中进行，并有明确清理流程。
结论
临时邮箱保护的是地址关系，不是打开文件的终端。TempMailer 选择不提供附件下载。合法流程确实需要文档时，应改用长期、安全的邮箱并核实发送方；附件完全意外时，最安全的处理就是不要打开。