# WmailHub 实施计划(v2,docs/11 §20)

## Phase 1 Console 重构(数据模型)

Cloudflare Account(cloudflare_accounts)、Domain、Mailbox、WorkerCredential;
迁移 0003 移除 nodes / node_credentials,emails/domains 归属改为 account_id。

## Phase 2 Authorization API

POST /internal/email/authorize:recipient/sender -> accept | reject(code+reason) | temporary_error;
拒绝码 DOMAIN_NOT_FOUND / DOMAIN_DISABLED / MAILBOX_NOT_FOUND / MAILBOX_DISABLED / RECEIVING_DISABLED。

## Phase 3 Email Worker

email handler + HMAC 签名 + authorize + setReject + ingest(共享逻辑见
shared/src/email-worker-template.ts 与 worker/src)。

## Phase 4 Mail Ingest API

POST /internal/email/ingest:message/rfc822 原文直传(不转 JSON 字符串),
复验 recipient(动态邮箱),只允许 accept 后调用。

## Phase 5 Cloudflare 自动配置

Connect Cloudflare Account:OAuth -> Account/Zone 发现 -> 域名同步 ->
Email Worker 部署(注入 CONSOLE_URL/WORKER_ID/WORKER_SECRET)-> WorkerCredential 签发;
逐域名:Email Routing + catch-all 规则。

## Phase 6 邮件存储

D1 元数据 + R2 raw MIME/附件 + MIME 解析(降级入库)+ 大小/数量限额。

## Phase 7 Webhook / REST API / MCP / TTL

三级 Webhook(邮箱 -> 域名 -> 全局,冻结投递配置)、Bearer API/MCP Key、MCP 工具、
Cron 清理(过期邮件 + orphan + nonce/state)+ Webhook 重试。

## Phase 8 完整测试

1. 存在邮箱 -> 接收成功;
2. 不存在邮箱 -> message.setReject()(MAILBOX_NOT_FOUND);
3. 禁用邮箱 -> setReject(MAILBOX_DISABLED);
4. 禁用域名 -> setReject(DOMAIN_DISABLED);
5. Console 超时 -> temporary_error,不能变成 mailbox not found;
6. Console 5xx -> temporary_error;
7. ingest 失败 -> 不伪造业务拒绝;
8. Worker credential revoke/rotate -> Worker 无法访问 Console;
9. 新建邮箱后测试立即接收;
10. 删除邮箱后测试立即拒绝;
11. 多域名并发测试;
12. catch-all 地址测试。

## 最终验收

运行架构必须是 `Internet -> Cloudflare Email Routing -> Email Worker -> Console(D1/R2/Webhook/API/MCP)`;
不得存在 `Email Worker -> Node -> Console`。