# Email 生命周期与 TTL(v2,docs/11 §3/§10)

## 接收(两阶段)

第一阶段只回答"这封邮件是否应该由 WmailHub 接收?":

```text
Cloudflare -> Email Worker
    -> POST /internal/email/authorize { recipient, sender }
        +-- accept          继续第二阶段
        +-- reject          message.setReject()(SMTP 永久拒绝)
        +-- temporary_error 由 Cloudflare 邮件机制处理后续重试
```

Console 拒绝码:DOMAIN_NOT_FOUND / DOMAIN_DISABLED / MAILBOX_NOT_FOUND / MAILBOX_DISABLED / RECEIVING_DISABLED。
Console 超时、网络失败、5xx 都不能被解释成邮箱不存在,也不能伪造永久拒绝。

第二阶段(accept 后)存储邮件:

```text
Email Worker -> POST /internal/email/ingest(raw MIME)
    -> Console:验证 Worker 身份与 recipient -> 解析 MIME -> D1 元数据
       -> R2 raw MIME / 附件 -> 计算 expires_at -> 创建 Webhook Delivery
```

SMTP 判断与邮件存储完全分离。动态邮箱:创建/删除/禁用邮箱后,下一封邮件的 authorize 立即生效,
Worker 不需要保存 mailbox 列表。

## TTL

默认保留 1 天,可按 Mailbox 配置:

```text
received_at = 2026-09-30T10:00:00Z
expires_at  = 2026-10-01T10:00:00Z
```

## Cron

使用 Cloudflare Cron Trigger(本地每 60s 模拟):

```text
Cron -> 查询 expires_at <= now -> 删除 R2 -> 删除附件 -> 删除 Email
     + 过期 nonce / OAuth state 清理 + 过期 webhook delivery 重试
```

删除必须幂等。

## Webhook

邮件保存成功后投递(三级解析:邮箱 -> 域名 -> 全局)。Webhook 失败不能导致邮件重新进入接收流程。

## 异常

R2 删除失败时保留数据库记录并记录 cleanup error,下一次 Cron 重试;
数据库已删除但 R2 删除失败时,由 orphan cleanup 兜底。ingest 失败不伪造业务拒绝。

## 数据最小化

邮件、附件、raw MIME、Webhook Delivery 和临时日志都应有生命周期,不做无限期保存。