SPF 记录是存在 DNS 里的 TXT 记录，用来声明哪些服务器能代表你的域名发邮件，防止被伪造发信。
作用：收件方会查你的 SPF 记录，核对发信 IP 是否在授权列表内，不在就可能判为垃圾邮件或直接拒收。 常见格式：以v=spf1开头，例如v=spf1 include:spf.protection.outlook.com -all，表示只允许该服务发信。
spf 禁止所有
SPF“禁止所有”的核心实现是通过记录末尾的-all（硬失败）机制，明确拒绝所有未被前置规则授权的IP发送邮件，是邮件域名最高级别的发件权限管控策略。
SPF记录中的all机制是兜底规则，必须放在整条记录的最后位置，不同前缀对应不同的“禁止”强度：
-all（硬失败）：完全禁止所有未授权IP，接收服务器会直接拒绝这类邮件，是真正意义上的“禁止所有”。
~all（软失败）：标记未授权邮件为可疑但不直接拒绝，适合配合DMARC使用，避免误拦合法邮件。
绝对禁止使用+all，它会允许全球所有服务器代发邮件，完全失去SPF防护意义。
典型配置场景
完全禁发邮件的域名：配置记录为v=spf1 -all，表示该域名不允许任何服务器发送邮件，彻底阻断伪造该域名的发件行为。
仅授权指定发件源：比如仅允许企业自有邮件服务器发信，其余全部禁止，记录示例：v=spf1 ip4:114.xxx.xxx.xxx -all。
第三方邮件服务商场景：先引用服务商的SPF规则，再兜底禁止所有其他来源，例如谷歌邮箱场景：v=spf1 include:_spf.google.com -all。