# WmailHub 系统架构(v2,docs/11)

最终架构是两层邮件接收:

```text
Internet
    |
    v
Cloudflare Email Routing
    |
    v
Email Worker
    |
    | HTTPS + HMAC(authorize / ingest)
    v
WmailHub Console
    |
    +-- D1
    +-- R2
    +-- Webhook
    +-- API
    +-- MCP
```

Node 已从邮件架构中移除(v1 的 `Email Worker -> Node -> Console` 链路废弃)。

## Console

Console = Frontend + Management API,是系统唯一业务控制中心。

负责 Cloudflare OAuth、Cloudflare Account、Domain、Mailbox、邮箱启用/禁用、Email Storage(D1 + R2)、Webhook、REST API、MCP、TTL Cleanup、Email Routing 配置、Email Worker 部署与 Worker Credential。

Console 是"是否允许接收邮件"的唯一事实来源。

## Email Worker

Email Worker 是邮件入口 + SMTP reject 执行者,只负责:

1. 接收 Cloudflare Email Routing 邮件,读取 `message.from` / `message.to`;
2. 调用 Console `POST /internal/email/authorize` 询问是否接收;
3. 明确拒绝时执行 `message.setReject()`;
4. 明确允许时把 raw MIME 提交到 Console `POST /internal/email/ingest`;
5. 处理内部异常(超时/5xx 一律按临时错误,不伪装成邮箱不存在)。

Worker 不创建邮箱、不做域名管理、不存业务数据、不实现 Webhook/API/MCP。

## 控制平面

```text
Cloudflare Account
  +-- Domain
  +-- Mailbox
  +-- Email Worker(账号级一个)
  +-- WorkerCredential
```

这些资源关系由 Console 管理。

## 数据平面

```text
Email Worker -> Console(authorize + ingest)-> D1 / R2 / Webhook
```

## 归属范围

一个账号绑定一个 Cloudflare Account 与一个 Email Worker;Worker credential 不允许处理其它账号的域名。