直接用net/smtp发邮件常失败，因未正确处理认证、tls协商和连接复用；应优先使用587/465端口，预热dns、复用连接、配置spf及退信地址，并安全管理凭据与模板。
为什么直接用 net/smtp 发邮件经常失败？
因为没处理好认证、TLS 协商和连接复用。Gmail、Outlook 等主流邮箱要求强制 STARTTLS 或 SMTPS，而 net/smtp 的 Auth 接口不自动触发加密升级；如果直接传 smtp.PlainAuth 给未加密的 25 端口，多数服务商直接拒收或静默丢弃。
实操建议：
- 始终优先用 587（STARTTLS）或 465（SMTPS），避免 25 端口
- 显式调用
smtp.SendMail前，先用tls.Dial或smtp.NewClient手动建立 TLS 连接 - Gmail 需开启「App Password」并禁用两步验证的默认登录方式，否则
smtp: authentication failed - 发件人地址必须与认证账号一致，否则 Outlook 会返回
530 5.7.0 Must issue a STARTTLS command first（即使你已连 TLS）
如何安全地管理 SMTP 凭据和模板？
硬编码密码或把 .env 文件提交到 Git 是最常见泄漏源。Go 本身不提供环境抽象层，得靠组合方案。
实操建议：
- 用
os.LookupEnv读取SMTP_USER/SMTP_PASS，绝不读文件或 struct tag - 模板用
text/template预编译，而非每次template.Parse：定义var emailTmpl = template.Must(template.New("email").Parse(...)) - 敏感字段（如重置链接 token）必须经
url.QueryEscape处理，否则模板渲染后生成非法 URL - 避免在模板里拼接 HTML 标签——用
{{.Body | html}}显式转义，防止 XSS（即使纯文本推送也建议统一加）
并发发送时为何出现 dial tcp: lookup smtp.gmail.com: no such host？
这不是 DNS 问题，是 Go 默认 DNS 解析器在高并发下被系统限制或缓存失效。尤其在容器环境（Docker/K8s）中，/etc/resolv.conf 配置不当会导致批量解析失败。
实操建议：
- 启动时预热 DNS：
net.DefaultResolver.LookupHost(context.Background(), "smtp.gmail.com") - 用
smtp.Dial复用连接：创建全局*smtp.Client，调用c.Auth()后反复c.Send，避免每封邮件新建 TCP 连接 - 设置超时：
net.DialTimeout("tcp", host+":587", 10*time.Second)，否则默认 30 秒阻塞会拖垮 goroutine - 加限流：用
semaphore.Weighted控制并发数，Gmail 免费版建议 ≤ 2 并发，否则触发421 4.7.0 Try again later
怎么判断邮件真正送达而不是“发送成功”？
smtp.SendMail 返回 nil 只代表 SMTP 服务器接收了，不等于投递成功。收件箱过滤、SPF/DKIM 验证失败、目标邮箱满等都会导致后续丢弃。
实操建议：
- 必配 SPF 记录：
v=spf1 include:_spf.google.com ~all（用你的域名发 Gmail 中继时） - 发信头加
Return-Path和Sender，指向可接收退信的地址，否则550 5.1.1 User unknown类错误无法捕获 - 用
github.com/emersion/go-smtp自建简易监听服务收 DSN（Delivery Status Notification），比轮询日志更可靠 - 对关键业务（如登录验证码），加 Redis 缓存 + TTL：发信前
SETNX code:123 1 EX 300，防止重放
真正的难点不在发，而在验证路径闭环——退信解析、DNS 记录生效延迟、客户端渲染兼容性（比如 Outlook 对 <style></style> 的拦截），这些没法靠 Go 代码解决，得和运维、域名服务商对齐。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
