垃圾邮件过滤器怎么知道一封邮件像诈骗
TL;DR
从发件来源、发送行为、链接附件和用户反馈解释垃圾邮件过滤机制，并说明正常邮件为什么也可能被误判。
垃圾邮件过滤器不会只扫描“中奖”等关键词，而是综合发件来源、发送行为、链接、附件、内容和用户反馈评估风险。本文解释邮件过滤的主要信号，以及为什么仍会出现误判和漏网邮件。
垃圾邮件过滤器不是只在找“中奖”两个字
一封邮件为什么进了垃圾箱？很多人以为过滤器只是扫描正文关键词：出现“免费”“中奖”“点击链接”就判定为垃圾邮件。关键词当然可能有用，但今天的邮件过滤通常会综合更多线索，因为诈骗者很容易换同义词、插入图片，甚至把文字拆散来逃避简单规则。
更接近真实情况的理解是：过滤器在估计一封邮件的风险。它会观察发件来源、发送行为、链接与附件、邮件内容、收件人反馈以及历史信誉，然后决定把邮件放在收件箱、垃圾箱，还是直接拒收。不同服务的具体模型和规则并不公开，也会随着攻击者的变化持续调整。
它可能关注哪些信号
第一类是“你是谁”。发件域名、服务器身份验证、发送地址是否与显示名称一致，都会影响可信度。一个自称银行的邮件，如果链接域名完全不属于银行，风险自然会上升。第二类是“你平时怎么发”。短时间向大量陌生地址发送相似内容，或者一个新注册的域名突然爆发式发信，容易触发信誉风险。
第三类是“邮件要你做什么”。诱导输入密码、支付、验证码或下载附件的邮件，需要更谨慎检查；链接最终指向哪里、是否经过多次跳转、附件是什么类型，也可能成为风险信号。第四类是“收件人怎么反馈”。如果很多人把同一来源标记为垃圾邮件，系统会获得群体层面的判断；如果用户把正常邮件移回收件箱，这也是重要的纠偏信息。
这些信号通常不是单独决定结果。合法的企业通知可能因为发送量很大而被误判，个人邮件也可能因为链接过多、附件异常或发件域名信誉不足而进入垃圾箱。过滤器追求的是降低整体风险，不可能保证每一封邮件都判断正确。
为什么有时诈骗邮件仍能进收件箱
垃圾邮件是一个不断变化的对抗问题。攻击者会购买被滥用的账号、伪装显示名称、改变链接域名和文本风格，还可能先发送看似正常的内容来积累信誉。过滤器必须在“拦截更多”和“误伤更少”之间做平衡，所以偶尔会有危险邮件漏网，也会有正常邮件被拦截。
普通用户看到可疑邮件时，不要只看头像和显示名称。检查完整发件地址，把鼠标悬停在链接上看真实域名，不要在邮件页面直接输入密码或验证码；确认是误判时再使用“不是垃圾邮件”功能，帮助系统修正判断。Gmail 的帮助说明也建议对可疑邮件进行举报，而不是仅仅把它当作普通广告处理。
一句话总结：垃圾邮件过滤器判断的不是一句话“像不像广告”，而是一封邮件的来源、行为、内容和反馈组合起来是否可信。
