先讀範圍，再決定郵件解析結果能怎麼用。

做什麼、不做什麼

做什麼

• 讀入 .eml（一檔一封）、.mbox 與 .mbx（一檔多封）、Apple Mail 的 .emlx，可多選；也可貼上標頭或原始碼。
• 每封郵件解析寄件人、收件人、副本、Reply-To、Return-Path、主旨（含 RFC 2047 與 RFC 2231 編碼）、日期（轉成 ISO 與 UTC）、Message-ID、In-Reply-To、References、Received 路徑、驗證結果標頭（原文轉述）、MIME 結構、內文文字（依 charset 解碼）、附件（解碼後大小與 SHA-256、依檔頭判斷內容）、連結（含包裝網址解出、同形異字與顯示文字不一致的標示）。
• 清單支援搜尋（寄件人、收件人、主旨、附件檔名；內文搜尋較慢，可取消）、依附件、特徵提示、日期區間、寄件網域、來源檔篩選，並可依日期、寄件人、主旨、大小、附件數、指標數排序；可切換成「對話串」（先看 References 與 In-Reply-To，再看正規化後的主旨）或「時間軸」（以各郵件換算成 UTC 的時間點排序，時區已換算）。
• 十萬封以上的清單以虛擬捲動呈現，畫面只畫看得到的幾十列。
• 匯出 CSV、JSON（可選是否含內文）、單封 TXT 報告、全部附件雜湊 CSV；可把單封摘要送到「AI 偵探實驗室」（需要你勾選確認才會送出）。
• 顯示每個來源檔的整檔 SHA-256（分塊讀取，自行實作的增量 SHA-256）。

不做什麼

• 不上傳、不聯網、不使用任何瀏覽器儲存空間（含 cookie）；關閉或重新整理頁面，畫面上的內容就消失。
• 不驗證簽章、不做 IP 定位、不解密、不執行或渲染任何郵件內容。
• 不修改原檔。匯出的 CSV、JSON、報告都是新檔案。
• 不評分、不判斷真偽，也不替任何程序背書。

怎麼取得原始郵件

各家郵件軟體的選單名稱會隨版本改變，以下是「通常」的位置；找不到時，請以你使用的版本的說明為準。重點是取得「原始碼」（含 Received、From、Subject 等標頭），而不是另存的網頁、列印出的 PDF 或截圖。

Gmail（網頁版）

通常在郵件右上角「⋮ 更多」選單中的「顯示原始郵件」；那個頁面可以「下載原始郵件」存成 .eml，或「複製到剪貼簿」後貼到本頁的貼上區。

Outlook

新版與網頁版通常可在郵件的「⋯」選單找到「檢視」→「檢視郵件來源」或「下載」；傳統桌面版通常在「檔案 → 內容」可複製「網際網路標頭」（只有標頭，沒有內文）。桌面版另存的 .msg 本工具不支援；能另存成 .eml 的版本請存成 .eml，不能的請改貼標頭。

Apple Mail

通常在選取郵件後的「顯示 → 郵件 → 原始碼」（或「完整標頭」）；也可以把郵件拖曳到桌面存成 .eml。信箱資料夾裡的 .emlx 檔本工具可直接讀取。

Thunderbird

通常在郵件的「更多 → 檢視原始碼」（快捷鍵常是 Ctrl／⌘ U），或「檔案 → 另存為 → 檔案」存成 .eml。Thunderbird 的本機資料夾本身就是 mbox 格式（沒有副檔名的檔案），可複製出來直接選取；請先關閉 Thunderbird 再複製，避免讀到寫到一半的檔案。

其他

許多郵件系統可匯出整個信箱成 .mbox；匯出時請確認格式是 mbox（不是 pst、ost 或 zip）。

四個步驟

1. ① 選擇或貼上。選檔或貼上，按「開始解析」。大檔會先掃一遍找郵件分隔行並同時計算整檔 SHA-256，再分批逐封建立索引；處理中有進度，可隨時取消，取消後保留已建立的部分。
2. ② 清單與摘要。先看摘要（郵件數、日期範圍、附件、特徵提示統計、各來源檔的狀態）；再用搜尋、篩選、排序縮小範圍。清單取得焦點後可用方向鍵、PageUp、PageDown、Home、End 移動，Enter 看細節。日期後面的「*」表示該封沒有可解析的 Date，改用最後一筆 Received 的時間排序。
3. ③ 單封細看。七個分頁：摘要與特徵、標頭、郵件路徑、內文、附件、連結、原始碼（超過上限只顯示前面的部分，可下載 .eml）。分頁可用左右方向鍵切換。
4. ④ 匯出。CSV、JSON、全部附件雜湊、單封報告、送到線索推理艙。

特徵提示：每一項的意思與常見的正常原因

郵件路徑與驗證結果的限度

• Received 只有一部分可信。每台伺服器在郵件上面加一筆 Received，由下往上是由早到晚。只有「你信任的那台收信伺服器」寫的那一筆，以及它之後（上方）寫的才可靠；它之前（下方）的紀錄，寄件者可以事先偽造。工具的路徑表由最早排到最近，只是照信上寫的排，沒有辦法判斷哪一筆是真的。
• 匯出會損失標頭。用「轉寄為附件」、截圖、列印、另存成 PDF，或某些軟體匯出 .eml 時，可能刪掉部分標頭，也可能新增標頭；只貼上「完整標頭」而不含內文時，無法核對內文的雜湊與簽章。
• 轉寄會改變標頭。轉寄（尤其是郵件群組、自動轉寄規則）會讓 SPF 失敗、讓 DKIM 簽章因內文被改而失敗、改寫 From 或加上 Reply-To。這些「失敗」常常是正常現象。
• 時間差只是時鐘之差。各伺服器時鐘不一定同步，時間差不是精確的傳輸時間。
• IP 只標類別。路徑中的 IP 只標示是否為文件用保留位址、私有網段、本機、連結本地等，不查所屬網路與地理位置。

匯出格式

CSV（UTF-8，開頭有 BOM，欄位以逗號分隔、CRLF 換行）

欄位：序號、來源檔、日期ISO、日期原文、寄件人、收件人、副本、主旨、Message-ID、對話串、附件數、附件名與SHA-256、SPF結果、DKIM結果、DMARC結果、指標數、指標名稱、Return-Path、Reply-To、位元組數、來源位置、郵件SHA-256。日期欄為 ISO 8601（帶郵件自己的時區偏移），另有原文欄；儲存格以 = + - @、Tab 或 CR 開頭時，前面加一個單引號，避免試算表當成公式執行（該格內容因此多一個字元）。

全部附件雜湊（CSV）

欄位：序號、來源檔、郵件主旨、附件位置、角色、附件名、宣告類型、內容判斷、解碼後位元組數、SHA-256、旗標。雜湊是附件解碼後內容的 SHA-256。

JSON

最上層有 generator、generatedAt、note（本工具的聲明）、sources（來源檔與 SHA-256）、messages（每封的欄位、驗證結果原文、路徑、附件、連結、特徵提示與依據）。勾選「附上內文」才會包含內文文字。網址一律 defang。

單封 TXT 報告

來源、摘要、特徵提示（含意思與常見的正常原因）、郵件路徑、附件、連結（defang）、解析註記與聲明；可選擇附上內文節錄。

送到線索推理艙

只送出步驟 ③ 選取的那一封的摘要文字（可選是否附內文節錄，最多 2000 字），先顯示預覽，勾選確認後才能送出；送出會開啟「AI 偵探實驗室」分頁，資料只在你的瀏覽器內從這個分頁傳到那個分頁。失敗時會說明原因，並建議改用「複製預覽文字」。

規模與實測

讀檔以 8 MiB 為單位分塊。mbox 分兩段：先掃分隔行並同時計算整檔 SHA-256，再分批（每批約 16 MiB）逐封建立精簡索引；詳細內容只在你點開那一封時才重新解析。索引與解析在背景 Worker 進行，主畫面不被卡住。上限：單一 mbox 檔 2 GiB（見下方實測）、全部來源合計 20 萬封、至多 5000 個來源檔、單封 128 MiB；超過時會明確標示「只處理前面的部分」，不會悄悄截斷。瀏覽器記憶體吃緊時，工具會停止建立索引並保留已建立的部分。

• 2 GiB 上限的依據：實測過的單檔大小是 1912.2 MiB（約 1.87 GiB）的 mbox，在 Chromium 與 Node 都能完成（因郵件數達上限 20 萬封而停在「部分」）。超過 2 GiB（2048 MiB）的檔案，頁面會直接拒絕並說明；沒有測試過接近 2 GiB 但郵件很少（每封很大）的情況，也沒有在其他瀏覽器或手機上測過這個大小。
• 手機：未在真實手機上測大檔。手機的記憶體遠小於桌機，建議只處理小檔；記憶體不足時工具會停止並保留已建立的部分，但無法承諾每種裝置都能撐到那一步。
• 內文搜尋需要逐封重新解析，比索引慢很多（見上表備註），所以做成要按鈕、可取消、有進度。
• 清單 10 萬列的虛擬捲動、鍵盤選取、排序、搜尋都在上述瀏覽器實測中通過（見 QA 資料夾的端對端結果）。

與 Python email 套件的交叉驗證

• 比對對象：Python 3.13.16 的 email 套件（policy.default）與本工具，逐欄位比對：標頭、主旨、寄件人、收件人、副本、Reply-To、日期、Message-ID、MIME 結構、純文字與 HTML 內文、附件（名稱、類型、大小、SHA-256）、HTML 連結。
• 共 5,967 次欄位比對：完全一致 5,902（嚴格一致率 98.9%）；有差異但已記錄原因 65；無法解釋 0。
• 三方比對（本工具、Python、生成器寫入的已知答案）：三方一致 602；本工具符合答案而 Python 不同 29；只有本工具有對應欄位（Received、驗證結果、指標）且符合 97。另有 4 次「與已知答案不同」的案例都已在已知差異清單中說明（例如 iso-2022-jp 編碼詞被切在跳脫序列中間，規格不允許）。
• mbox 分割：把語料合成 mbox，與 Python 的 mailbox 模組比對，448 封全部切對、447 封位元組完全相同，另 1 封只差結尾換行（檔案最後一封沒有結尾換行）。
• 單元測試：共 1,387 項（編碼、標頭、MIME、HTML 與網址、路徑與驗證、指標、匯出、郵件庫、語料一致性），全數通過。

已知差異與原因

不支援或只支援一部分的格式

如何自行驗證

• 用作業系統的 sha256sum（或 shasum -a 256、certutil -hashfile）對原檔計算，與來源檔表中的 SHA-256 比對。
• 用 Python 重算附件雜湊，與附件分頁或「全部附件雜湊」CSV 比對。下面的範例只用標準函式庫：

import email, hashlib
from email import policy
m = email.message_from_binary_file(open("sample.eml", "rb"), policy=policy.default)
for part in m.walk():
    if part.get_filename():
        data = part.get_payload(decode=True)
        print(part.get_filename(), len(data), hashlib.sha256(data).hexdigest())

• mbox 檔可用 mailbox.mbox("export.mbox") 逐封讀出，與清單的封數與主旨比對；注意 Python 只還原恰好一層「>From 」，本工具預設還原任意長度的 >>…From 的一層，兩者在極少數情況會不同。
• 下載單封 .eml，與原始郵件檔（.eml）比較位元組；mbox 內的郵件是依 mboxrd 慣例還原後的位元組，與檔案裡的略有不同，報告與畫面都會註明。
• 驗證 DKIM 或 SPF 需要另外的工具與網路查詢（例如各郵件服務自己的驗證工具），本工具不提供。

常見誤解

• 「驗證結果寫 pass，就是真的。」那是信裡寫的文字，本工具沒有驗證，標頭也可能被手動編輯。
• 「驗證結果寫 fail，就是假的。」轉寄、郵件群組、寄信平台常造成失敗；失敗不等於偽造。
• 「沒有任何特徵提示，就可以放心。」特徵提示只是一小部分容易檢查的事實；沒有提示不代表可信。
• 「Received 最下面一筆的 IP 就是寄件人的位置。」只有你信任的收信伺服器之後的紀錄可靠，而且 IP 的所在地常與寄件人無關。
• 「Date 就是寄出的時間。」那是寄件者軟體填的，時鐘或時區錯誤、排程寄出都會讓它與實際時間不同。
• 「附件的檔名副檔名就是它的真實類型。」工具會另外依檔案開頭的位元組判斷內容，兩者不符時會提示，但判斷也可能不完整。
• 「顯示的網址就是點下去會到的地方。」HTML 郵件的顯示文字與實際連結可以不同；本頁列出實際連結並標示不一致，但不會替你判斷哪個安全。

程式與資料處理

• 解析器完全是本站自己寫的程式：郵件標頭與 MIME 解析、RFC 2047／2231 解碼、base64、quoted-printable、uuencode、Punycode、RFC 5322 日期、Received 與驗證結果標頭解析、HTML 掃描（不使用 DOM、不渲染）、網址 defang。沒有使用任何第三方函式庫，也沒有從網路載入任何程式。
• SHA-256 是自行實作的增量版本（大檔與整檔雜湊分塊讀取），測試時與 Python 的 hashlib 比對相同；字元編碼的解碼使用瀏覽器內建的 TextDecoder，對 windows-1252 另外用自己的對照表，避免瀏覽器之間的差異。
• 索引、搜尋、匯出都在同源的背景 Worker 內；整個頁面沒有 iframe、不使用 eval、不使用 Blob Worker，不載入任何遠端資源。畫面上顯示的郵件內容一律以純文字放入頁面。
• 不使用 localStorage、sessionStorage、IndexedDB 或 cookie；關閉或重新整理頁面就會清除畫面上的全部內容。