Custom Smtp Sender

核心用法

Custom SMTP Sender 是一款面向开发者和自动化场景的邮件发送技能。它通过读取本地 SMTP 配置文件，实现无需重复配置即可快速发送邮件。核心功能包括：

1. 多格式内容支持：原生支持纯文本，并可将 Markdown 自动转换为 HTML 格式邮件，兼顾可读性与排版美观
2. 附件处理：支持单文件或多文件附件添加，满足报表、文档等场景需求
3. 智能重试机制：网络波动或临时故障时自动重试（最多3次），提升发送成功率
4. 完整日志审计：记录每次发送尝试及错误详情，便于故障排查与合规审计

使用方式简洁，通过命令行参数指定收件人、主题、正文及可选的 HTML 转换和附件路径即可。

显著优点

• 零重复配置：复用 /home/bb/.openclaw/smtp-config.json 中的既有凭证，避免硬编码敏感信息
• 安全存储建议：明确建议配置文件设置 600 权限，体现安全意识
• TLS 加密支持：配置文件中包含 useTLS 选项，支持加密传输
• 故障透明化：详细的错误报告机制，便于快速定位网络或认证问题

潜在缺点与局限性

• 单点配置依赖：所有用户共享同一配置文件路径，多用户场景可能存在权限冲突
• 凭证明文存储：密码以明文形式存储于 JSON 文件，虽建议 600 权限但仍存在泄露风险
• 无内置模板系统：当前版本不支持预定义邮件模板，每次需手动构造内容
• SMTP 协议限制：不支持现代 API 方式（如 SendGrid/SES API），仅适配传统 SMTP 服务
• 待实现功能：CC/BCC、定时发送等特性尚未落地

适合人群

• 需要在工作流中集成邮件通知的开发者/DevOps 工程师
• 使用自建邮件服务器或企业邮箱（如腾讯企业邮）的技术团队
• 偏好命令行工具、追求轻量部署的自动化场景

常规风险

• 配置文件泄露：若未严格遵循 600 权限设置，敏感凭证可能被同服务器其他用户读取
• 中间人攻击：TLS 配置不当或证书验证缺失可能导致通信被窃听
• 邮件滥用风险：获取配置文件访问权限的恶意脚本可能利用此技能发送钓鱼邮件或垃圾邮件
• 日志敏感信息：日志中可能记录邮件主题、收件人等元数据，需关注日志文件的访问控制

核心用法

Custom SMTP Sender 是一款轻量级邮件发送技能，专为需要自动化邮件通知的场景设计。用户通过配置本地 smtp-config.json 文件，即可调用命令行工具发送邮件，支持纯文本、Markdown（自动转HTML）以及多附件发送。核心命令简洁直观，仅需指定收件人、主题、正文即可完成发送；高级场景下可通过 --html 标志启用富文本渲染，通过 --attachments 参数附加任意本地文件。内置的3次重试机制可有效应对临时网络波动，配合日志记录功能，便于后续审计追踪。

显著优点

该技能的最大优势在于零依赖设计——仅使用 Python 标准库（smtplib、email 等），完全规避了第三方包带来的供应链攻击风险。177行代码结构清晰、无动态加载或混淆，静态分析通过率高。功能层面，Markdown 自动转 HTML 的能力大幅提升了邮件排版效率，特别适合发送周报、通知等格式化内容；重试逻辑与日志框架的预留设计，体现了生产环境的实用性考量。此外，配置即用的设计哲学降低了接入门槛，用户无需编写代码即可完成 SMTP 服务集成。

潜在缺点与局限性

安全层面存在两处显著短板：凭证本地明文存储与附件路径无白名单限制。SMTP 密码以明文形式存放于固定路径的 JSON 文件，若权限配置疏漏（未执行 chmod 600），存在被其他用户读取的风险；附件功能允许指定任意绝对路径，虽便利但缺乏目录隔离、大小限制及类型校验，可能导致敏感文件误发或资源耗尽。功能层面，当前版本缺失 CC/BCC 字段、邮件模板及定时调度能力，复杂场景下需配合外部工具实现。TLS 加密虽已支持，但依赖用户正确配置，无强制安全连接校验。

适合的目标群体

该技能主要面向三类用户：个人开发者搭建自动化通知流（如 CI 构建结果推送）、小型团队实现低成本内部邮件服务集成、以及运维人员快速部署告警邮件通道。特别适合已拥有 SMTP 服务（如腾讯企业邮）、且对邮件功能需求相对简单的场景。对于需要高安全隔离、多租户管理或复杂邮件编排的企业环境，建议评估更成熟的邮件服务方案。

使用风险

配置安全风险：配置文件路径固定且依赖文件系统权限保护，若运行环境为多用户共享服务器，凭证泄露风险上升。建议严格设置 600 权限，并优先使用服务商提供的"应用专用密码"而非邮箱主密码。

数据泄露风险：附件功能的自由路径访问特性，可能在自动化脚本中被恶意利用或意外触发，导致敏感文件外发。建议在调用层封装路径白名单与大小限制。

供应链与来源风险：技能来源于 ClawHub 平台的个人开发者（T3 级），虽当前代码无恶意模式，但后续更新缺乏强审计保障。关键业务场景建议固定版本使用，或进行独立代码审查。

网络与性能风险：SMTP 通信依赖外部网络稳定性，大附件发送可能阻塞执行流；日志功能当前为占位实现，生产环境需补全持久化与轮转策略。