eilandert/rspamd-olefy

镜像概述

olefied是Heinlein olefy的生产就绪前端，为rspamd邮件系统提供Office附件扫描能力。原olefy可解析Office附件中的VBA宏、OLE技巧等内容，但存在单文件扫描和无超时的问题，在繁忙邮件中继中易被文档阻塞。olefied封装了原olefy.py，新增并发处理、扫描超时、背压机制、输入限制、自修复及可选结果缓存，保持与原协议兼容，无需修改rspamd配置即可替换使用。

核心功能

使用场景

适用于邮件中继系统，尤其是高流量场景下，需要高效检测Office附件中的宏、OLE等威胁，保障邮件安全。

快速开始

Docker Run示例

bash
docker run -d --name olefied \
  -e OLEFIED_WORKERS=4 \
  -p 10050:10050 \
  eilandert/rspamd-olefy

验证服务存活

bash
printf 'PING\n\n' | nc -N 127.0.0.1 10050  # 应返回PONG

连接rspamd

修改rspamd配置，将oletools服务指向olefied（与原olefy配置相同，仅需更换主机）：

hcl
# external_services.conf 或 oletools.conf
oletools {
  servers  = "olefied:10050";  # 服务名称/虚拟IP
  timeout  = 15s;
  max_size = 5M;
}

结果缓存（可选，Redis）

启用Redis缓存可避免重复扫描相同附件，提升效率：

yaml
services:
  olefied:
    image: eilandert/rspamd-olefy
    environment:
      OLEFIED_REDIS_URL: redis://redis:6379/0
    networks: [ internal ]
  redis:
    image: redis:7-alpine
    networks: [ internal ]

缓存特性：

• 键：prefix:v1:<oletools版本>:sha256(文档内容)，确保版本更新时缓存自动失效
• 仅缓存成功扫描结果，错误/超时/繁忙回复不缓存
• Redis故障时自动降级为直接扫描，不影响服务

配置说明

所有配置通过环境变量设置，OLEFIED_*调整前端，OLEFY_*传递给worker：

安全建议

• 使用非root用户运行，启用--read-only并挂载/tmp tmpfs
• 移除所有权限（--cap-drop ALL），设置no-new-privileges
• 限制CPU/内存资源，避免资源耗尽
• 保持内部网络访问，不暴露公共端口
• 定期更新oletools以修复解析漏洞

构建说明

镜像构建时从HeinleinSupport/olefy拉取最新的olefy.py和requirements.txt，确保与上游同步。如需固定版本，可指定构建参数：

bash
docker build --build-arg OLEFY_REF=<标签或SHA> -f docker/Dockerfile -t olefied .

版权与许可

olefy.py、olefy_ping.sh及测试消息版权归Heinlein Support所有，采用Apache-2.0许可。olefied的调度器及打包代码同样采用Apache-2.0许可。