2. 策略基础：三要素与匹配逻辑
说起邮件外发审计策略，很多新手上来就写一堆规则，结果不是漏报就是误报。我自己的习惯是把一条策略拆成三个硬骨头：条件、动作、例外。搞懂这三个东西，策略基本就八九不离十了。
2.1 策略三件套：条件、动作、例外
一条完整的审计策略，其实就是“在什么情况下干什么事，但某些情况除外”。说白了，就是
| 要素 | 作用 | 常见例子 |
|---|---|---|
| 条件 | 匹配哪类邮件 | 发件人、收件人、主题、附件名、正文关键字 |
| 动作 | 命中了怎么处理 | 审批、阻断、放行、加密 |
| 例外 | 跳过本策略的邮件 | 白名单地址、特定时间段、VIP 部门 |
条件：你到底想抓什么
条件字段通常支持多选和组合。最常用的几个：
- 发件人/收件人：单个邮件地址或整个域名（比如 @example.com）
- 主题/正文关键字：支持正则或模糊匹配，注意中英文混排的坑
- 附件类型：比如 .zip、.docx、.pdf，甚至可以对压缩包内文件名做二次检查
- 邮件大小：超过 10MB 的附件强制审批
我遇到过最头疼的情况——某部门发了一份含“机密”字样的普通周报，结果被拦截了。后来加了个关键字白名单前缀才解决。
动作：命中以后怎么办
| 动作 | 说明 |
|---|---|
| 审批 | 发送到审批人队列，等待放行或驳回 |
| 阻断 | 直接退回发件人，不给任何送达机会 |
| 放行 | 啥也不干——主要用于审计日志记录，不阻断业务 |
| 加密 | 自动用公司证书加密邮件附件，收件人需解密后才能看 |
我个人建议：新策略上线前先用“放行+日志”观察一周，避免一上来就阻断，打乱业务节奏。
例外：给策略留个后门
没有例外的策略是不完整的。常见的例外场景：
- 发件人白名单：CEO 发什么都放行
- 收件人白名单：发往合作邮箱域名的邮件不受限制
- 时间段例外：下班后的审批流程走简化版
- 内容例外：包含“内部参考”但不含“项目代号”的邮件跳过
@exam 而不是 @example.com……从此以后，我所有例外都用精确匹配或正则。
2.2 匹配逻辑：条件之间怎么组合
条件不可能只有一个，通常是好几个一起上。这时就需要说清楚它们之间的关系：与（AND）还是或（OR）？
- AND：所有条件都满足才算命中。比如“发件人是张三 AND 附件是 .zip”
- OR：任一条件满足就算命中。比如“主题含‘合同’ OR 正文含‘合同’”
更复杂一点的，还支持分组和优先级。举个例子：
(发件人域 @partner.com AND 附件大小 > 5MB)
OR
(主题含“报价” AND 收件人包含 @client.com)
看到那个括号没？它决定了哪一组条件先合并。大部分商用系统都用“括号+层数”来消除歧义。你要是担心混乱，可以先把条件拆成两三个小策略，再在顶层用“任意匹配”组合——虽然看起来多了几条规则，但排错时一眼就能看出问题。
条件组 A（AND）→ 动作：审批
条件组 B（AND）→ 动作：阻断
条件组 A 和 B 之间用 OR 连接。
这样每个组内清清楚楚，不会出现条件交叉打架的情况。
为了让你更直观地理解整体流程，我画了一张图，把条件、匹配逻辑、动作、例外串起来。
从图里能看出：邮件先提取条件，经过匹配逻辑判断，匹配成功的才触发动作，动作执行前还要过一遍例外——例外中了就直接放行。这一套下来，误报率通常能控制在 5% 以内。
2.3 实际案例：一个销售合同的审批策略
光说不练假把式，我们看个具体例子。某公司要求所有带“合同”附件的邮件外发前必须经过法务审批，但法务部自己发的不受限制。
条件：
- 附件文件名包含“合同”（OR）
- 附件类型是 .docx 或 .pdf（AND）
动作：审批（法务组）
例外：
- 发件人邮箱属于 @legal.example.com
你看，这里“附件名包含合同”和“附件类型是 docx/pdf”之间用了 AND，保证只拦截有实际合同文件的邮件。而法务部自己的邮件靠例外跳过，避免审批组自己审批自己，死循环。
写到这里，你应该对审计策略的三要素和匹配逻辑有底了。动手配策略时，先想条件够不够精确，动作是不是太强硬，例外有没有留得太大。把这三点拿准，90% 的邮件审计需求都能搞定。