记录公网证书验证与外域连接预算修复复测

docs/清库部署测试记录.md

@@ -116,3 +116,35 @@
 - 校验传输文件后仅更新 `/opt/smail/smail`；Smail 于 13:54:29 启动，更新后 Smail、Nginx 均为运行状态。未清库、未修改证书、未保留旧二进制备份、未重启其他项目。
 
 本段关闭了公网匿名外域收件响应问题，但外域双向投递、真实客户端协议、通知凭据协议隔离及证书续期等未完成项仍然有效，整体验收继续进行。
+
+### 14:01 至 14:23：公网证书验证与多地址连接预算修复
+
+继续当天同一轮验收，不重复清库、不恢复历史配置。业务邮件均通过浏览器页面操作，交互式 SSH 仅用于运行状态、日志和部署；没有直接调用 Smail 业务接口，没有新增辅助脚本。
+
+#### 公网 SMTP TLS 与证书
+
+- [✓] 14:03:07 的 CheckTLS 接收端检测通过公网 MX 解析连接 `smtp.cdis.cn`，实际地址为 `47.108.78.12:25`；连接、EHLO、STARTTLS、加密及证书检查通过。
+- [✓] 协商 TLS 1.3，套件为 `TLS_AES_128_GCM_SHA256`，密钥交换为 X25519；证书主机名校验通过，包含 `*.cdis.cn` 与根域 `cdis.cn`，页面显示 OCSP 未撤销。
+- [✓] 页面证书有效期为 2026 年 9 月 30 日 16:41:53 UTC 至 2026 年 12 月 29 日 16:41:52 UTC。本段没有更换证书。
+- [!] 检测在 MAIL FROM 后退出，没有执行 RCPT、DATA 或最终收件；MTA-STS、DANE、FCRDNS 未测。该页面分数不是全项目验收结果，也不证明自动续期。
+
+#### 第二外部目的地与连接预算
+
+- [x] MailGenius 页面停留在请求验证，未绕过；改用 CheckTLS 的发信检测页面取得收件说明。
+- [x] 14:10 首次操作未在离开收件框前按回车确认目标，随后误选站内历史联系人，形成一封站内自收邮件；此邮件的发送成功不计入外域证据。14:12 重新输入并确认目标标签后，才向 `test@TestSender.CheckTLS.com` 正式提交检测邮件。
+- [x] 旧版日志中该目的地出现 IPv6 超时及网络不可达。源码确认 DNS 与所有目标地址共用两秒时限，且仅保留最后一个地址的错误，后续地址可能没有有效尝试时间。
+- [x] 修复后单个地址连接预算为十秒、DNS 预算为十秒，并受三十秒连接总时限及父级取消约束；汇总各地址失败原因。仍先检查全部解析地址是否允许访问，不改变 TLS 校验、SMTP 路由端口顺序和不确定投递停止规则。
+- [x] 新增首地址超时后回退、父级取消、全部失败原因保留的 Go 用例；本段未运行单元测试，不标记用例通过。
+- [!] 新版队列于 14:19:27 至 14:19:29 重试原邮件，日志明确显示 `ts11-do.checktls.com` 的 IPv4 地址 `165.227.190.238`：25 端口超时，465 和 587 返回无路由。连接预算修复没有消除公网出站失败。
+- [!] 两个独立外部收件目的地均已有失败证据，仍不能直接认定云厂商封禁或所有外域不可达。下一步需核实云平台出站限制、安全组及网络路径；不可通过关闭 TLS 校验掩盖问题。
+- [!] 本段收件箱没有外部检测回信，也未出现用户协助发送的“外域入站验收”邮件；外域双向投递仍未验收通过。
+
+#### 修复部署与站内复测
+
+- 修改前检查点 `3389f18`、修复提交 `eba1b9d` 均已推送至 `smail` 远程。
+- Linux amd64 内置插件版本编译成功，沿用未改动的现有前端、插件内嵌资源；本段未重新构建前端。
+- 本地及云端 SHA-256 均为 `7ddba6353e082d8281639a3db9b2fe81aa0d26dd7a3a4e7a5f3fc1994a5204c0`。
+- 仅更新 Smail 二进制，服务于 14:16:58 启动，自动重启次数为零；Smail、Nginx 均正常，未重启其他项目。
+- [✓] 浏览器刷新后普通用户会话与已有邮件保留；14:21 经页面回复站内邮件，新邮件编号 16 到达收件箱，正文可读。
+
+本段完成连接预算代码修复和站内回归，但没有关闭外域投递问题。自动续期、真实邮件客户端、通知凭据协议隔离以及此前列明的剩余验收项继续保留，不据此签收上线。