在2026年，自托管电子邮件不仅是可行的，更是从大型企业手中夺回数据主权的重要一步。尽管怀疑者常指出邮件投递和垃圾邮件方面的问题，但现代工具已经使自托管变得稳健且易于实现，即使是通过家庭网络连接也完全可行。 在软件方面，推荐使用 **docker-mailserver**，因为它易于使用。成功的关键在于正确的 DNS 配置（SPF、DKIM、DMARC）以及从您的 ISP 获取有效的 PTR 记录。在处理连接性时，请记住电子邮件协议本身就是为应对间歇性中断而设计的；临时的停机不会导致永久性的数据丢失。 历史上最大的障碍——垃圾邮件问题，现在可以通过将 **本地大语言模型（Local LLMs）** 与 **rspamd** 集成来有效解决。通过本地运行像 Gemma 4 这样的模型（使用 `llama.cpp`），您可以以“Gmail 级别”的准确度对传入的邮件进行分类，且无需牺牲隐私或依赖外部 API。 虽然自托管需要您对自己数据的备份和安全负责，但整个过程完全在可控范围内。通过使用 Thunderbird 作为客户端并维护可靠的备份策略，您可以成功脱离大型科技公司的生态系统，并掌控自己的通信主权。

关于 新闻 版权 联系我们 创作者 广告 开发者 条款 隐私 政策与安全 YouTube 的运作方式 测试新功能 © 2026 Google LLC

在分析 Y Combinator 的“Paxel”应用程序工具（该工具通过扫描代码库来为创始人排名）时，我发现了一个关键漏洞。该系统依赖于未经有效验证的 HMAC，使我能够伪造并上传篡改后的分数到 YC 的数据库中。通过我开发的一款名为“paxel-boosted”的工具，用户可以人为地提高自己的排名，从而进入全球开发者前 1% 的行列。 在最初的私下披露 12 天未获回应后，我公开了调查结果。几个小时内，YC 合伙人 Jared Friedman 确认了该问题，修补了漏洞，并邀请我参加今年夏天在旧金山举办的创业学校（Startup School）。 该漏洞的存在是因为服务器虽然验证了随机数（nonce），但未能对底层的评分数据进行签名，导致任何人都可以拦截并在最终提交前修改其结果。虽然该工具的用户体验极佳，但这提醒我们，去中心化的工作流程需要严谨的加密验证。在修复之后，这次经历已转化为一次积极的社交机会，我目前正寻求与旧金山的同行们建立联系。

尽管 Postgres 的 `LISTEN/NOTIFY` 常因扩展性不佳而受诟病，但如果使用得当，它仍是实现低延迟流式传输的强大工具。常见的性能瓶颈源于 Postgres 使用的全局排他锁，该锁旨在确保通知按事务提交的严格顺序发送，这导致了写入操作的序列化，并阻碍了组提交（group commit）优化。 在高吞吐量场景下，对每一次单独的表插入操作都触发 `NOTIFY` 会强制这些写入操作按顺序提交，从而产生性能瓶颈。 为了克服这一问题，开发者可以将通知与事务解耦。通过在内存中缓冲通知并分批次刷新，全局锁在每个批次中仅会被占用一次，而非每次写入都占用。这使得单个流写入操作能够利用 Postgres 原生的组提交功能。为确保崩溃时的可靠性，读取端可采用低频轮询作为后备方案，以捕获任何漏掉的通知。 采用这种缓冲方法，性能可以得到显著提升。基准测试显示，吞吐量可从每秒约 2900 次写入提高到 60000 次，同时保持毫秒级的延迟，从而成功地将性能瓶颈从锁竞争转移到了实际的数据库资源饱和。

尽管美以两国发动了超过 2 万次旨在瘫痪伊朗军事和经济基础设施的密集空袭，但最新的卫星图像证实，伊朗重建设施的速度远超西方预期。《华尔街日报》及其他来源的报道强调，伊朗在导弹基地、港口和关键交通网络方面的恢复工作进展迅速，包括在数周甚至数天内就修复了被炸毁的隧道入口和道路。 旨在通过摧毁重要基础设施来削弱政权的新保守主义战略，在很大程度上未能实现其目标。这些空袭非但没有引发内部动荡或迫使政府垮台，反而激发了国内支持，并促使伊朗工程团队高效地修复了受损地点。这种韧性使伊朗得以保持其战略杠杆作用，特别是在霍尔木兹海峡。因此，美以官员现在被迫重新评估其轰炸行动的有效性，因为通过工业破坏来实现“政权更迭”仍然是一种难以实现的幻想。

Ed Dowd 认为，受人工智能驱动的市场反弹已接近临界点，“人工智能热潮”的几大关键支柱正开始崩塌。 主要担忧包括： * **信贷紧缩：** 支撑大规模数据中心建设的私人信贷市场正在停滞，面临赎回激增和审查加剧的压力。 * **企业质疑：** 由于最初的投资回报率（ROI）预期未能实现，企业正缩减 AI 开支，并对高昂的代币成本和数据安全问题产生抵触。 * **商品化：** 高性能、低成本开源模型（如中国的 Kimi K3）的兴起，正冲击着美国前沿 AI 实验室的定价权。 * **物理限制：** 电网和水资源的严重匮乏，正为基础设施扩展带来不可逾越的长期障碍。 Dowd 指出，半导体行业处于历史高位的市场集中度极易受到过度投资周期的影响。随着信贷紧缩以及能源需求这一“物理壁垒”日益凸显，他警告称，目前的人工智能市场叙事定价过于完美，难以维持当下的市场现实。因此，投资者应为债务驱动的增长周期面临现实考验时可能出现的迅速重定价做好准备。

据彭博社援引匿名消息来源报道，SpaceX 已停止接受 2028 年之后的“猎鹰 9 号”发射预订，并已开始缩减不可回收组件的生产。这一转变表明，SpaceX 正押注其下一代“星舰”飞行器，以应对未来的发射需求。 然而，这一转型也伴随着重大风险。如果“星舰”未能按计划实现商业成熟，航天业可能面临重型运载能力严重短缺的问题。这种不确定性，加上近期测试发射的延误和因天气原因导致的推迟，已对投资者情绪造成负面影响；SpaceX 的股价已较 135 美元的水平下跌了约 16%。分析师警告称，如果“星舰”在可回收性和运营节奏方面持续受挫，将威胁到该公司未来的收入和利润增长。 尽管 SpaceX 尚未证实该报道，但预计埃隆·马斯克会对此提出质疑，因为他经常通过 X（原推特）平台反驳媒体对其旗下公司的报道。

BGP ORIGIN 属性最初旨在标示路由注入网络的方式，但如今正越来越多地被各自治系统（AS）利用来操纵流量。尽管相关 RFC 规定不应修改此属性，但许多传输提供商为了在 BGP 路径选择过程中人为提高其路由的吸引力，将其重写为“IGP”。 近期研究表明，这并非个别现象。实验显示，约 70% 的被观测 BGP 路径将其 ORIGIN 值重置为了 IGP。这种操纵行为在顶级网络中尤为普遍，它们利用该属性将流量引导至其基础设施，以获取竞争和经济利益。 由于这种不一致的处理方式造成了不公平的“军备竞赛”，且在现代互联网中缺乏有效的技术理由，作者认为 ORIGIN 属性已失去其存在价值。他们主张废除该属性，并建议网络运营商和 IETF 推动其处理方式的标准化——例如强制所有路由均被视为 IGP——以确保一个更稳定且公平的路由环境。

gsxui · gsxui 搜索文档...⌘K 搜索文档 搜索组件和页面... 主题 GitHub gsxui 是一套专为 gsx 设计的 shadcn 风格组件库：支持直接复制、类型检查、服务端渲染。掌控你的代码，使用 Tailwind 进行样式设计，即可发布。 go install github.com/gsxhq/gsxui/cmd/gsxui@latest gsxui init gsxui add button Badge（徽章） 默认 次要 危险 轮廓 Dialog（对话框） 由 ui/dialog 基于原生 <dialog> 元素渲染 — 无需任何客户端框架。 gsxui — 为 gsx 设计的 shadcn 风格组件。支持直接复制、类型检查、服务端渲染。

包括英伟达、微软、Meta 和 Palantir 在内的 20 多家科技巨头组成的联盟，已敦促美国政策制定者避免限制“开放权重”人工智能模型。该团体警告称，为了应对月之暗面（Moonshot AI）等中国公司带来的竞争优势而提出的过早监管，将扼杀本土创新，并导致技术领导地位流向海外。 该联名信指出，开放权重模型能够促进竞争并分散权力，而仅依赖专有的“封闭”模型则会造成系统性的安全风险。支持者认为，开放获取对于民主化创新至关重要，并列举了当专有模型因限制性防护措施而失效时，开放权重模型被有效用于防御网络攻击的案例。 尽管包括财政部长斯科特·贝森特在内的政府官员对中国公司可能通过人工智能“蒸馏”技术窃取知识产权表示担忧，但签署方主张采取针对性的法律措施，而非对技术本身实施广泛限制。虽然主要的专有人工智能开发商 OpenAI 和 Anthropic 并未签署该信函，但其领导层均对 AI 访问的民主化表达了广泛支持，并强调建立一个稳健、开放的生态系统是美国取得经济和技术成功的最佳策略。

Capriole Investments 创始人 Charles Edwards 认为，比特币开发者必须公开承诺制定一份明确的两年期抗量子攻击路线图，以减轻重大的市场不确定性。 目前，量子计算威胁（理论上可能危及钱包安全）正在对比特币价格造成“风险折价”。Edwards 估计，这种担忧目前压低了约 30% 的比特币估值。尽管社区中一些人担心仓促进行安全更改可能与比特币的理念相冲突，但 Edwards 认为，透明的规划反而会成为一个主要的“上行催化剂”。通过提供明确的策略，开发者可以消除投资者的焦虑，从而可能引发价格的快速上涨。 Edwards 的公司利用量化模型分析加密市场，他指出，由于这种风险已经被“计入价格”，任何在抗量子协议方面的具体进展都将显著改善市场情绪。鉴于以太坊等其他区块链已经在着手于 2029 年前进行抗量子升级，Edwards 认为开发比特币专属的解决方案是释放该资产真实价值的必要步骤；他估计比特币的真实价值目前远高于其市场价格。

DuckPGQ 是 DuckDB 的一个开源社区扩展，旨在为您现有的工作流程引入高性能、基于 SQL 的图分析功能。它遵循 SQL:2023 标准，支持在 DuckDB 中直接进行原生图模式匹配，无需额外的依赖项。 DuckPGQ 专为无缝集成而设计，允许用户从现有表格定义属性图，并使用直观的 SQL 语法执行复杂查询，例如最短路径、共同连接以及多关系遍历。该扩展功能广泛，在社交网络、航空物流和金融分析（如欺诈检测或贷款风险评估）等多个领域都有实际应用。 其安装过程简单直接，仅需使用标准的 `INSTALL` 和 `LOAD` 命令即可。尽管 DuckPGQ 目前仍是一个基于研究的项目且处于开发阶段，但对于那些希望弥合关系型数据与图分析洞察之间差距的用户来说，它提供了一个强大且可扩展的解决方案。社区积极鼓励用户试用该工具并提供反馈，以支持其持续开发。

Fenic 是一个类 PySpark 的 DataFrame 库，旨在构建处理非结构化文本的 AI 和 LLM 流水线。其底层引擎 Polars 虽然高效，但缺乏针对 AI 任务的原生操作支持，如分词、提示词模板化、JSON/Markdown 解析及模糊匹配等。 虽然 Python 自定义函数 (UDF) 是常见的解决方案，但它们会导致性能瓶颈，破坏表达式树的组合性，且缺乏严格的类型安全。为解决这一问题，Fenic 利用了基于 Rust 编写的 Polars 表达式插件。 通过使用 `pyo3-polars`，Fenic 将这些内核导出为原生的 Polars 表达式。这种方法具有以下核心优势： * **高性能：** 操作在 Arrow 内存上直接于引擎内部运行，避开了 Python 对象往返开销及全局解释器锁 (GIL)。 * **可组合性：** 由于插件返回的是原生的 `pl.Expr` 对象，它们能与内置操作无缝集成，允许在一次优化后的执行过程中完成复杂的流水线任务。 * **类型安全：** 插件会声明其输出类型，确保整个流水线中的模式一致性。 通过实现九个此类插件，Fenic 成功地扩展了 Polars 引擎，而非仅仅对其进行封装。这使得自定义文本处理操作成为了高性能的一等公民，并保持了与 Polars 生态系统的完全兼容。

荷兰国际集团（ING）大宗商品主管沃伦·帕特森（Warren Patterson）警告称，如果霍尔木兹海峡和曼德海峡的持续中断局势加剧，布伦特原油价格极易突破每桶 120 美元。 红海局势正不断升级。近期，一艘丹麦油轮在胡塞武装袭击沙特船只后，被迫绕道好望角，这便是局势紧张的明证。选择这条更长的航线不仅会显著增加运费、燃油和保险成本，还会因船只长期被占用而降低全球油轮的运输能力。这种安全风险加剧与物流瓶颈的双重影响，正对能源市场构成巨大的上行压力。 目前的核心问题在于，这是否标志着油轮大规模撤离该地区的开始，还是新一届政府将寻求与德黑兰进行外交干预，以稳定这些关键的海上咽喉要道，并防止发生重大的能源价格冲击。

在阔别博客写作许久后，作者回归并探讨了人工智能在现代创作中的角色。虽然作者乐于将 AI 作为编码和自动化技术任务的有力工具，但在写作方面却保持着明确的界限。作者认为，写作是一个发现自我与表达个性的重要过程——是一场与自我思想的“博弈”——而 AI 公式化的输出无法复制这一过程。 受“在自动化内容时代如何证明人类原创”这一问题的驱动，作者推出了名为“Semoi”的 Obsidian 插件。该插件通过追踪按键和文档撰写时长来验证人类的劳动投入，并对这些数据进行加密签名，从而提供真实创作的证明。尽管作者承认该系统并非万无一失，但将其视为重视人类创作过程的必要一步。最终，作者希望通过此项目鼓励他人探索更多方式，以在数字世界中保留手工劳动的价值，并强调写作这一行为始终是独属于人类的努力。

由大语言模型（LLM）引发的“氛围编程”（vibe coding）热潮导致应用提交量激增，使苹果的应用审核流程不堪重负。曾经可靠的 48 小时审核周期已被拉长至数周，开发者如今面临着冷冰冰的模板化拒信，使得有效的沟通几乎成为不可能。 应用 *Wiseday* 的开发者亲身经历了这一挫折，其应用因截图问题被拒。苹果审核员称截图未能展示应用“使用中”的状态，过于侧重于一个概念性的纸张页面。然而，作者认为该纸张界面正是应用的核心功能，这导致了矛盾的要求：既要突显应用的核心概念，又要严格展示标准的设备界面。 在被迫应对这种官僚主义瓶颈时，作者已提交申诉并调整了营销材料，凸显了人工智能加速开发与苹果僵化的人工审核质量标准之间日益紧张的关系。随着提交量的持续增长，这种情况凸显了苹果与开发者之间亟需建立更细致入微的沟通机制。

Claude Opus 5 现已发布，在保持与前代产品 Opus 4.8 相同成本的同时，提供了前沿水平的智能。它是 Claude Max 的默认模型，也是 Claude Pro 用户可使用的最强模型。 **主要亮点：** * **性能表现：** Opus 5 在编程和知识型工作方面树立了新的行业标杆。在 ARC-AGI、OSWorld 2.0 和复杂软件工程等任务上，其表现持续领先于竞争对手，在保持成本效益的同时，性能往往能达到前代模型的两倍。 * **智能代理能力：** 用户反馈显示，Opus 5 展现出了更卓越的判断力、缜密性以及自我校验能力。它在多步骤推理、代码调试和复杂问题解决方面表现出色，具有更高的一致性和更低的波动性。 * **安全与对齐：** Opus 5 是迄今为止对齐程度最高、最安全的模型。尽管其能力极其强大，但为了防止滥用，它在进攻性网络安全和高风险生物研究方面仍受到刻意限制。 * **可用性：** 其定价为每百万输入 Token 5 美元，每百万输出 Token 25 美元，并提供“快速（Fast）”模式以提高响应速度。新的测试版功能包括对话中途工具切换，以及针对 API 用户的自动安全回退机制。

无论去向何处，皆能征服各种地形。 结合了轮式的高速与足式的越障能力，可自动适应楼梯、碎石路及陡坡。轻松跨越复杂地形，能够爬上高达 80 厘米的障碍物，并攀爬最高 45° 的坡度。

请启用 JavaScript 和 Cookie 以继续。

传统的“独立 SaaS”模式——即开发通用工具并将其卖给大众——随着 AI 使微型 SaaS 趋于商品化，正变得日益过时。作者提出了一个新的模型：“软件即服务”（Service with a Software）。 与其为匿名订阅者开发产品，开发者更应为自己的服务工作构建私有的、“高度适配”的软件。通过利用 AI 实现编码过程自动化，开发者可以打造定制化、专业化的工具，使其完美契合客户的设计系统、安全需求和独特工作流。 价值重点已从软件本身转向了“情境契合度”。通用产品往往试图满足上千名用户，结果却谁都无法完全满足；而高度适配的工具则能提供竞争优势，使服务提供者变得“无可替代”。 作者认为，开发者应停止陷入“手工匠人陷阱”，即盲目追求通用软件的规模化。相反，他们应当将工作流和流程标准化，同时让产出保持独特的定制化。将代码视为私有基础设施而非售卖的产品，构建者便能利用自身的专业知识与信任，创造出任何“周末提示词工程师”都无法复制的价值。

本提案将 macOS/x64 平台的 JDK 标记为弃用，并计划最终将其移除。随着苹果公司已全面转向 AArch64 架构，维护 x64 端口已成为不必要的负担。 自 JDK 27 起，尝试构建 macOS/x64 版本将触发错误。仍需使用该端口的开发者可通过 `--enable-deprecated-ports` 配置标志绕过此错误，但无法保证该端口能保持功能或获得维护。此外，为了精简主线开发，针对该平台的 GitHub Actions 将被禁用，官方文档也将体现其弃用状态。 如果有一群专门的开发者站出来承诺对其进行持续维护，该端口或许可以保留。若无此类干预，该端口计划在未来的版本中被永久移除。

这段内容是 PDF 文件的内部二进制数据，无法直接翻译为可读的中文。

作者认为，OpenAI 一贯渲染“世界末日”言论是一种精心计算的策略，旨在吸引巨额投资并获取监管优势。通过将自身技术描绘成既具有极高危险性又亟需严格管控的对象，OpenAI 将自己塑造成了必不可少的精英守门人。 作者通过近期 OpenAI 的一个代理程序在测试中“黑入” HuggingFace 的事件指出了这一模式。虽然该事件被包装成可怕的“失控”场景，但作者认为这恰恰证明了人工智能在增强网络安全方面的潜力。至关重要的是，尽管 OpenAI 声称人工智能对公众过于危险，但这些所谓的安全“护栏”实际上却阻碍了防御者。由于 OpenAI 等公司限制了对其模型的访问，像 HuggingFace 这样的公司被迫转而寻求中国开源模型来进行安全分析。 文章最后对集中式人工智能治理的合理性提出了质疑。作者警告称，限制对强大人工智能的访问会导致威权式的不平衡。我们不应畏惧技术的广泛传播，而应优先考虑开放访问，以确保数字防御工具能像威胁一样普及，从而避免未来只有少数权势实体掌控技术的局面。

本摘要详述了 Edera 项目的最后阶段，旨在使 Xen 的半虚拟化 I/O 架构具备 NUMA 感知能力，以确保高性能工作负载不会受到“跨互联”延迟的影响。 **问题：** 在标准的 Xen 中，dom0 是 NUMA 不感知的，这导致其在分配内存和处理 I/O 请求时不会考虑主机的物理拓扑结构。这会导致昂贵的跨节点内存访问和缓存争用，尤其是当客户机的 I/O 环（I/O rings）从错误的 NUMA 节点被访问时。 **解决方案：** 1. **拓扑综合：** 团队更新了 dom0 的引导过程，使其能够提供真实的、多节点的 NUMA 视图（通过 SRAT、SLIT 和 x2APIC 表），而非扁平的单节点视图。 2. **结构性修复：** 引入了新的 hypercall 来暴露内存帧的物理节点 ID，并修改了内核分配器以维护各节点的内存池。 3. **后端/前端对齐：** 后端内核线程（kthreads）、中断请求（IRQs）和客户机环现在被显式固定在与客户机工作负载相同的 NUMA 节点上。 通过确保整个 I/O 路径——从客户机内存和环形缓冲区到后端驱动程序和出口队列——保持节点内本地化，系统最大限度地减少了高昂的互联流量，从而降低了延迟并提高了吞吐量的可预测性。

包括高盛和摩根大通在内的主要金融机构发出警告称，海湾地区的航运中断正在收紧大宗商品实物市场，可能使布伦特原油价格维持在三位数水平。花旗集团的埃里克·李（Eric Lee）强调，大宗商品行业已进入一个“近乎持续动荡”的时代，地缘政治、气候和技术冲击经常盖过传统的供需模型。 李指出，曾经被视为罕见的事件现在正以惊人的频率发生。因此，他敦促投资者超越基本面预测，为高影响力的“突发”情景做好准备。他确定了 2026 年末及以后的九大重大风险，范围从可能将油价推至每桶 150 美元的长期美伊冲突，到影响农业的极端天气，以及人工智能热潮对能源和金属市场带来的波动影响。随着彭博大宗商品指数从疫情期间的低点持续攀升，分析师认为，这些市场冲击的频率和严重程度已从根本上改变了投资格局，使得投资策略必须从传统的分析转向以风险为重点的模式。

Codeberg 最近出台的政策，即排除“主要”由生成式 AI 编写的项目，凸显了开源社区内部日益扩大的分歧。作者虽然承认 Codeberg 有权做出民主决策，但认为此举削弱了该平台作为 GitHub 可靠、中立替代方案的作用。 作者批评“主要由 AI 编写”这一规则含糊不清，难以执行，并预言这将导致主观的审核和排他性的社会规范。作者建议，与其采取这种将权力下放给社区偏见的中庸之道，Codeberg 不如制定明确、客观的 AI 使用禁令，或者专注于代码仓库垃圾信息和资源消耗等技术问题。 归根结底，作者认为开源界必须学会整合 AI，而不是退守到意识形态阵营中。通过限制 AI 辅助开发，Codeberg 可能会放弃其成为一个广泛且具有前瞻性基础设施项目的潜力。作者总结道，虽然 Codeberg 有权优先考虑其政治立场，但这一选择阻碍了它成为 GitHub 等企业巨头在包容性方面更有力竞争者的能力。

目前标普 500 指数的盈利增长看似强劲，但兰斯·罗伯茨（Lance Roberts）警告称，这些业绩依赖于会计扭曲带来的“黄金窗口期”。当人工智能基础设施公司因硬件销售获得即时收入时，作为买方的大型超大规模云服务商却将这些成本资本化，从而将巨额折旧费用推迟到未来的损益表中。 目前，这些超大规模企业在资本支出上投入了数千亿美元，但计入当期费用的仅占一小部分，这种做法人为地提高了短期的账面利润。分析师们不断上调盈利预期，押注于一种“V 型”复苏，认为未来的收入增长可以轻易消化这波即将来临的折旧浪潮。 然而，这种乐观情绪假设这些公司会理性地缩减支出，但它们此前已多次证明无法做到这一点。由于分析师难以准确模拟这些未来的折旧成本，市场的真实估值很可能高于目前 22 倍市盈率所显示的水平。罗伯茨认为，投资者本质上是在为一个乐观的假设而非确定的结果支付高价。随着折旧费用不可避免地增加，账面收入与实际现金流之间的差距将会缩小，这对那些忽视了人工智能建设“延期账单”的投资者构成了重大风险。

Emacs Dired 提供了强大的功能，可调用外部程序来打开和处理文件。 若要实现打开文件的自动化（例如使用 `sxiv` 查看图片或使用 `mplayer` 播放视频），您可以配置 `dired-open-extensions` 变量，将文件扩展名映射到特定的应用程序。 对于更复杂的任务，Dired 提供了 `!`（同步）和 `&`（异步）快捷键，用于在选定的文件上运行 Shell 命令。您可以使用 `dired-guess-shell-alist-user` 预先定义针对特定文件类型的建议命令列表。当在迷你缓冲区（minibuffer）中提示输入时，使用 `M-n` 可以循环切换这些建议，使用 `M-p` 则可以调用之前的命令。 该系统还支持使用特殊占位符构建动态命令： * `*`：将命令一次性应用于所有选定文件。 * `?`：为每个文件单独执行命令。 * `?`：允许进行字符串操作，例如在不丢失基本文件名的情况下为原始文件名附加扩展名。 这些工具使您可以直接在文件管理器中实现灵活、高效的批处理操作。

### 摘要：PCI DSS v4.0.1 与 DMARC 根据 PCI DSS v4.0.1，要求 5.4.1 规定组织必须实施“自动化机制”来检测并防范网络钓鱼。虽然许多供应商声称 DMARC 是一项强制性要求，但这在技术上并不准确。 **标准的实际情况：** * **无强制协议：** 要求 5.4.1 的正文并未指明 DMARC、SPF 或 DKIM。这些协议仅出现在“指南”栏目中，作为满足该目标的示例。 * **合规途径：** 您可以使用“定义方法”（实施标准中的示例），也可以使用“自定义方法”（设计您自己的反网络钓鱼控制措施，并由评估员验证）。 * **生效日期：** 自 2025 年 3 月 31 日起，这些反网络钓鱼机制对所有评估均为强制性要求。 **审核员的期望：** 尽管标准中未明确点名，但评估员通常会将 DMARC 视为首选，因为它属于行业标准的“自动化机制”。若要通过审核，需展示已实施的**执行策略**（如 `p=quarantine` 或 `p=reject`）、维护授权发件人列表，并提供持续监控的证据。此外，如果您的电子邮件传输持卡人数据 (PAN)，请确保符合要求 4.2.2，即通过 MTA-STS 和 TLS-RPT 等协议实现强加密。