核心用法
CaduceusMail 是一款面向 OpenClaw 平台的企业级邮件基础设施自动化技能，核心架构建立在单一 Microsoft 365 邮箱 + Cloudflare DNS 区域的组合之上，通过子域名隔离实现多通道（lane）的收发分离。
工作流程
1. Bootstrap 阶段：初始化 Entra ID 应用权限、Exchange 服务主体及 RBAC 角色，建立 Graph API 认证基线
2. 通道（Lane）运维：
3. 日常运行：支持 --skip-m365-bootstrap 模式实现纯通道操作，无需重复认证
provision-lane：创建子域名并配置 MX/SPF/DKIM 记录，生成可收发或仅发送的别名身份verify-lane：验证 DNS 传播与邮件可达性retire-lane：安全回收别名，保持回复连续性
显著优点
- 零全局安装：采用 vendored tarball + SHA-512 完整性校验，运行时零 npm 依赖
- 最小权限设计：环境变量白名单转发，隔离无关主机密钥
- 身份硬隔离：每条 lane 独立子域名，从 DNS 层阻断跨通道信誉污染
- 无回复通道原生支持：通过 MX 缺失 + SPF
-all配置实现单向发信身份
潜在局限
- 单邮箱瓶颈：所有邮件物理汇聚于同一 Exchange 邮箱，高并发场景受 M365 节流策略限制
- Cloudflare 锁定：DNS 操作深度绑定 Cloudflare API，多 DNS 提供商迁移成本较高
- Entra 权限门槛：需
Exchange.ManageAsApp及RoleManagement.ReadWrite.Directory等高特权 Graph 权限
适合人群
- 需要规模化冷邮件/支持工单收发的 SaaS 运营团队
- 追求发信域名与主品牌隔离的合规敏感型企业
- 具备 Entra ID / Cloudflare 管理权限的 DevOps/SRE 工程师
常规风险
| 风险类别 | 具体表现 | 缓解措施 |
|---------|---------|---------|
| 凭证泄露 | `ENTRA_CLIENT_SECRET` 与 `CLOUDFLARE_API_TOKEN` 高权限集中 | 使用专用服务主体，Token 限定 DNS 编辑权限 |
| DNS 配置漂移 | 手动修改 Cloudflare 记录导致 lane 状态不一致 | 始终通过 skill 接口操作，依赖 `verify-lane` 审计 |
| 邮件被拒 | SPF/DKIM 配置错误导致高垃圾邮件评分 | Bootstrap 阶段自动优化根域邮件记录 |
| 并发超限 | M365 Graph API 429 节流 | 实施指数退避，监控 `awareness snapshots` |
安全运行建议
- 生产环境强制启用
CADUCEUSMAIL_ALLOW_EXTERNAL_SCRIPT_RESOLUTION=0（默认） - 定期审计
~/.caduceusmail/intel目录权限（预期 0700） - 对
retire-lane操作实施双人复核，避免误删活跃业务通道