话说回来，

邮件里点击图片的链路大概是这样：

flowchart LR
A --> B
B --> C
C --> D{是否加载远程图片}
D -->|默认拦截| E
D -->|点击加载图片| F
F --> G
G --> H
H --> I

问题就在 F> G。图片只是载体，真正泄漏信息的是那次请求。说起来，

从实现原理来看。HTML 邮件里塞一个远程图片

HTML 邮件与网页差不多。正文里可以放文字、表格、样式，也可以放图片。

图片有两种常见形态。

• 从内嵌图片来看，内容跟着邮件一起发过来。
• 至于远程图片，邮件里只放一个 URL，例如：

营销邮件、通知邮件、活动邮件里更常见后者。而且往往带上收件人标识：

open.gif 可以是一张 1x1 的透明 GIF。肉眼看不到它，但一旦加载。客户端就会向 track.example.com 发起请求。服务端收到请求后记录日志即可，不需要入侵电脑、执行脚本或利用浏览器漏洞——HTTP 请求天然携带上下文。

用一个最小服务复现

下面示例仅用于演示原理。其实，真实线上使用请配合隐私说明、日志保留策略和合法用途。老实说，

. Node.js 最简追踪服务器

const express = require;const app = express;const port = 3000;说起来，const transparentGif = Buffer.from(
'R0lGODlhAQABAPAAAP///wAAACH5BAAAAAAALAAAAAABAAEAAAICRAEAOw=='。'base64'
)，function getClientIp {
return req.socket.remoteAddress;按理说，}
app.get => {
const hit = {
time这方面，new Date.toISOString,ip: getClientIp,method: req.method,path: req.path,query: req.query。userAgent: req.get || '',accept: req.get || '',acceptLanguage: req.get || '',referer: req.get || '',host: req.get || ''
};console.log);res.setHeader;老实说，res.setHeader;res.setHeader;res.end，});app.listen => {
console.log;})，按理说，

. 最小 HTML

这是一封测试邮件的正文。说起来，

只要客户端加载这张图。服务器就会收到请求，例如本机测试时控制台输出可能如下：

{
至于"time"，"2026-08-06T10:12:34Z","ip": "::1","method": "GET","path": "/pixel.gif","query": {
从"mid"来看，"mail_20260512"。"uid": "user_7f3a9c","campaign": "privacy_test"
},"userAgent": "\"Mozilla/5.0 AppleWebKit/537.36 Chrome/113 Safari/537.36\"","accept": "\"image/webp,image/apng,image/*,*/*;q=0.8\""，"acceptLanguage": "\"zh-CN,en-US;q=0.9\"","referer": "\"http://localhost:3000/test.html\""。"host":"localhost"
}

::1 是本机 IPv6 回环地址。如果服务挂到公网，服务器看到的通常是你的公网出口 IP。

完整响应长什么样

服务器最终返回的内容可以非常小，只需一张透明 GIF：

. 请求示例

GET /pixel.gif?mid=mail_20260512&uid=user_7f3a9c HTTP/1.1
再看Host。track.example.com
User-Agent: Mozilla/5.0 (Macintosh... Chrome/... Safari/
Accept的观点是，image/webp,image/apng,image/*,*/*;不过，q=0.8
Accept-Language: zh-CN。en-US，q=0.9
Connection: keep-alive

. 响应示例

HTTP/1.1 200 OK
Content-Type:image/gif
Cache-Control:no-store
Content-Length:
GIF89a...

关注的是请求已到达服务器；响应体不是主要，

除了 IP，还能拿到什么？

. 打开时间

服务器收到请求时自带时间戳，可用于推断使用者行为模式。但要注意一些邮箱会预取或安全扫描，时间不一定等于真人阅读时间。

. 大致位置与网络环境

• I P 可通过第三方数据库映射为国家、城市、运营商等信息。

. Geo 示例

{
说到"ip"，"203.120.xxx.xxx","geo":{
"country":"CN","region":"Shanghai","city":"Shanghai","asn":"AS4812"。"isp":"China Telecom"
}}

. User-Agent 与设备线索

• "Mozilla/... Chrome/... Safari/" → macOS + Chromium 内核。
• "Mozilla/... Firefox..." → Linux/macOS 等。
• "User-Agent" 通常包含操作程序版本、渲染引擎与浏览器或 WebView 名称，可作为指纹线索。

. Accept 与图像能力

• "Accept:image/webp。 image/apng,...” → 客户端支持现代图像格式，通常说明较新设备或浏览器。

. Accept-Language

• "zh-CN,en-US;q=..." → 客户端语言偏好为中文，同时备用英文。可辅助判断地区文化背景，

. Referer

• "Referer:https://example.com/newsletter/preview.html"

• . URL 中唯一追踪 ID

  • "uid=user_7f3a9c" 可映射到具体收件人；"
  • "mid=mail_20260512" 可映射到具体邮件；"
  • "campaign=privacy_test" 可映射到特定投放活动。

  • 代理后的 IP 并非真实使用者 IP？

    若服务挂在 CDN / Nginx / LB 后面Node.js 看见的 <<     />/>?老实说，有时只是代理 IP。怎么说呢，再看这条链变成。使用者设备 ➜ CDN/Nginx/LB ➜ Node.js 服务端.

    Nginx 或 CDN 常把原始 IP 写进 X‑Forwarded‑For: “203.x.x.x”。但如果没有信任代理，这个 header 可以被伪造；只有当你确知该 header 来自可信代理时才可信。在 Express 中可按代理网段配置 trust proxy，而非盲目信任所有 IP：

    app.set;// 或指定可信子网
    app.get=>{
    console.log({
    至于ip，req.ip,ips:req.ips。rawRemoteAddress:req.socket.remoteAddress,xForwardedFor:req.get||'',userAgent:req.get||''
    });... // 返回透明 GIF
    });

    ---

    为什么很多邮箱默认不加载远程图片？怎么说呢，

    不同邮箱默认策略对比表格
    Outlook	Apple Mail	Gmail	公司网关 & 防病毒扫描器*
    阻止自动下载	后台预取并隐藏IP	通过 Google 隐私代理转发	内部安全扫描

    ---

    我现在怎么点“加载图片”？— 使用者痛点导向建议

    场景类型	建议行为
    银行账单 / 支付确认 / 验证码链接等关键业务类电子邮件：	可放心开启——因内容以文字形式提供，而且发送方可信度高；其实，建议开启并随时查看 “允许所有来源” 设置，以免误删关键信息。
    陌生营销推广 / 活动邀请 / 未认同来源的附件类电子邮件：	不要点 “加载图片”，除非你已确认来源可靠；如果必须查看，可先打开 “预览” 或 “下载附件” 等方式。或者使用受限网络环境，
    含有附件但无正文说明的通知类电子邮 件 ： 例如物流通知。账号异常警告等：保持关闭状态——因为这些类电邮往往依赖远程图像来呈现关键信息，一旦未能渲染，你很可能无法获得完整信息；建议手动复制链接至浏览器并以受限模式访问，同时留意是否来自官方渠道再操作。
    社交媒体邀请或好友动态更新等娱乐类电子邮 件 ： 比如好友生日祝福 、游戏活动邀请等：根据个人喜好决定——若经常接受此类邀请。可以开启，但最好先确认是否来自真实联系人；按理说，若偶尔收到此类广告，则建议保持关闭，以防跟踪数据累积影响隐私。
    公司内部通讯与内部公告类电 邮 件 ： 例如公司公告、新员工入职通告等：开启为佳——公司内部网络一般已配置专门安全策略，不太可能泄漏个人敏感数据；仍可在内部网内使用专用浏览器插件增加隐私保护，如阻止外链资源自动下载并记录日志后再手动查看。
    未知源大量批量营销邮 件 ： 如“免费试用”“会员升级”等促销推送）：

    ---

    — 将“加载图片”视作一次隐私授权**而非单纯功能**.

    
    * 一次 HTTP 请求背后隐藏了多维度身份信息：IP、时间戳、设备指纹及唯一标识符等。如果你不想让某个域名收集这些数据，就别点“加载”。​
    * 对于自己订阅的可信源，可以放心开启。只要确保源可靠且已了解其隐私政策即可。如需进一步防护，可考虑使用专用浏览器插件或程序级 DNS 屏蔽策略。将未知域名重定向至本地空白页面从而彻底切断外部跟踪链路。​
    * 对陌生来源，无论是商业广告还是潜在钓鱼，都应保持警惕。不点即刻避免被追踪，也能降低遭遇恶意脚本或文件注入的风险。但请，​
    * 如果你负责 IT 安全管理，需要评估公司员工接收营销类电子邮 时所产生的数据泄露风险。并根据公司政策制定相应屏蔽策略，例如将所有外部图像资源走公司内部镜像站点，从而既保证展示效果又能保留完整日志以供审计参考。

    ​

    最终提醒一句的观点是。每一次“点击加载”，都是给发件方一次机会，让他们知道你正在阅读这封信 —— 而不是单纯为了看清楚文字。怎么说呢，对任何未曾验证过的新域名，一定要！

    如果你还有其他关于电子郵件隐私的问题。请随时留言，我们乐意继续帮忙解答！

     ​
    

    •  Apple Support: Protect email privacy in Mail on Mac.,Apple Inc.,https://support.apple.com/en-us/HT210701.,2026‑01‑01.,author=,editor=,publisher=..-articletype="journal"。articletitle="Protect email privacy in Mail on Mac.",articleyear="2026–01–01",articlemonth="January",articleday="01",doi="10..11..22..33..44",url="https://support.apple.com/en-us/HT210701",urlaccess_date="..