Roundcube 1.7.5 介绍与选型指南

Roundcube 浏览器端 Webmail（IMAP/SMTP 客户端）的定位澄清、项目沿革、核心功能、运行架构与发行形态，最新稳定版 1.7.5 与 LTS 1.6.20 的版本策略、月度安全更新节奏，以及与 SnappyMail、SOGo、Nextcloud Mail 及自托管邮件套件内置 Webmail 的量化选型对比。

Roundcube邮件服务器Webmail2026/10/21

Roundcube 1.7.5 介绍与选型指南

目标：面向准备为自有邮件服务器补一个 Webmail 前端的运维与自托管爱好者，澄清 Roundcube 的真实定位（它不是邮件服务器）、梳理功能特性与运行要求，并给出与同类 Webmail 方案及邮件套件的量化选型对比。本文基于官方公开资料溯源编写（roundcube.net、GitHub Releases、shields.io 仓库徽章、Ubuntu 官方仓库索引），版本与数据查询日期为 2026-10-21；本文不含本地实测内容，安装与配置的实测见本专栏后续篇章。

1. Roundcube 是什么：一个常被误认成"邮件服务器"的 Webmail 客户端

Roundcube Webmail 是一个基于浏览器的多语言 IMAP 邮件客户端，采用类桌面应用的用户界面（官方描述："browser-based multilingual IMAP client with an application-like user interface"）。它提供用户对邮件客户端的全部预期：MIME/HTML 邮件支持、通讯录、文件夹管理、邮件搜索、拼写检查等。

需要最先澄清的是：Roundcube 不是邮件服务器。它不接收、不投递、不存储邮件的最终副本——所有邮件都在它所连接的 IMAP 服务器上，外发邮件则通过 SMTP 服务器提交。Roundcube 本质上是一套 PHP 编写的 Web 应用，站在 Postfix/Dovecot 这类后端组件之上，把"收发信"翻译成浏览器里可操作的界面。所以它几乎总是与一个邮件后端成对出现，选型时首先要问自己："我的 IMAP/SMTP 后端在哪里？"

浏览器 ──HTTP/HTTPS──▶ Roundcube（PHP Web 应用）
                          │
                          ├──IMAP──▶ Dovecot / Courier 等邮件存储（收）
                          └──SMTP──▶ Postfix / Exim 等提交服务器（发）

关键事实速览（均于 2026-10-21 溯自官方渠道）：

项目内容
项目主页roundcube.net
代码仓库github.com/roundcube/roundcubemail
GitHub Starsstars（shields.io 徽章数据）
最新稳定版1.7.5（2026-10-19 发布，安全更新）
LTS 维护线1.6.20（2026-10-19 发布，仅安全更新与重要缺陷修复）
实现语言PHP（要求 PHP 8.1 及以上，1.7 线）
许可证GPL-3.0 或更高版本（皮肤与插件有例外条款）
界面语言80 种以上
项目归属2023 年起由 Nextcloud 接手主理（项目新家）

2. 发展背景与项目沿革

Roundcube 面向"标准 LAMPP 服务器（Linux + Apache + MySQL/MariaDB + PHP）"运行，官方 About 页明确说明它复用了多个成熟开源组件：从 IlohaMail 衍生的 IMAP 库、TinyMCE 富文本编辑器、Googiespell 拼写检查库、Masterminds 的 HTML5-PHP 净化器等。这种"站在开源组件肩膀上"的路线让它的代码体量保持克制：官方下载页给出的完整包（Complete）仅约 6 MB。

从官网 Latest News 可以看到它的维护节奏——安全更新几乎以月为单位滚动：

发布日期更新
2026-10-191.6.20 与 1.7.5 安全更新
2026-09-061.6.19 与 1.7.4 安全更新
2026-08-091.6.18 与 1.7.3 安全更新
2026-07-051.6.17 与 1.7.2 安全更新
2026-05-241.6.16 与 1.7.1 安全更新

以 1.7.5 为例，其安全修复清单（摘自 GitHub Releases 说明）覆盖了 Webmail 攻击面中典型的高危类别：IMAP 命令注入（_uid/_flag 参数 CRLF 注入）、SSRF 过滤绕过（is_local_url() 的 NAT64 64:ff9b::/96 绕过）、远程内容阻断绕过（SVG SMIL、CSS FuncIRI 转义）、CSRF 校验绕过（mark-as-junk）、多处邮件头注入（From 显示名、References/In-Reply-To/Message-ID 等）、rcube_session::unserialize() 对象注入原语等。对一个常年暴露在公网、直接解析不可信邮件内容的 Web 应用而言，这种高频、有外部安全研究者参与（更新说明中均有致谢）的修补节奏，是评估它"是否还活着"的最直接证据。

3. 核心功能特性

以下特性清单溯源自 roundcube.net 首页与 About 页的功能列表：

邮件处理

  • 拖拽式邮件管理、完整 MIME 与 HTML 邮件支持、线程化邮件列表
  • 多发件人身份（identities）、共享/全局 IMAP 文件夹、ACL 访问控制列表支持
  • 内置缓存加速邮箱访问、导入/导出功能、拼写检查
  • IDNA 与 SMTPUTF8 国际化支持

用户界面

  • 响应式皮肤 elastic（多设备适配）、三栏视图、明暗两种界面模式
  • 附件预览、即输即找的通讯录集成、邮件与联系人搜索
  • 80 种以上语言界面

通讯录与扩展

  • 支持分组与 LDAP 连接器的完整通讯录
  • 固定回复模板（canned responses）
  • 插件 API：通过 Composer 管理，社区插件与皮肤发布在 Packagist（类型 roundcube-plugin / roundcube-skin）
  • 内置插件覆盖归档、批量下载（zipdownload）、Sieve 规则管理（managesieve）、PGP 加密（enigma）、密码修改（password）等常见诉求

安全

  • XSS 攻击防护、暴力破解登录防护、隐私保护（远程内容阻断）
  • PGP 加密支持（enigma 插件）
  • OAuth/XOAuth 登录支持

4. 技术架构与运行形态

Roundcube 的运行依赖四类外部组件，官方服务器要求清单为：

  1. Web 服务器：Apache、Lighttpd、Nginx、IIS、Cherokee 或 Hiawatha 任选其一；
  2. PHP：1.7 线要求 PHP 8.1 或更高（官方注释说明：每个大版本按发布时仍在维护期的 PHP 版本提供支持）；
  3. 数据库：MySQL/MariaDB、PostgreSQL 或 SQLite 任选其一（用于会话、缓存、用户偏好、通讯录等应用数据，不存邮件本身）；
  4. 邮件后端：一台支持 IMAP4 rev1 的 IMAP 服务器 + 一台 SMTP 提交服务器。

应用内部分层也印证了"客户端"定位：program/ 目录是 PHP 框架与 IMAP 客户端库，skins/ 目录在 1.7 线只内置 elastic 一套响应式皮肤，plugins/ 目录内置约 36 个官方插件（archive、zipdownload、managesieve、enigma、password 等），public_html/ 是推荐的 Web 根目录（把 config、logs、temp、SQL 等敏感目录隔离在站点根之外）。

官方发行形态

形态说明适用
Dependent 包（roundcubemail-1.7.5.tar.gz）仅含 GPL 授权源码，第三方依赖需自行安装有经验的管理员
Complete 包（roundcubemail-1.7.5-complete.tar.gz）含全部第三方依赖，开箱即用绝大多数部署场景（官方推荐）
Framework 包仅 Roundcube 框架，供二次开发开发者
Docker 镜像Docker Hub roundcube/roundcubemail，提供 PHP-FPM 与含 Apache 两种形态，另有 docker-compose/Kubernetes/Helm 示例容器化环境
发行版仓库包各发行版经包管理器分发，如 Ubuntu 22.04（jammy）仓库收录的是 1.5.0+dfsg.1-2（Ubuntu 仓库索引数据）想随系统升级管理的场合
一键面板Softaculous、cPanel、BitNami Stack、Cloudron 等虚拟主机/面板用户

所有发布包均提供 PGP 签名（签名身份 "Roundcube Developers devs@roundcube.net"，别名 41C4F7D5，公钥发布在 roundcube.net/download/pubkey.asc），可用 gpg --verify 校验完整性。

版本策略

Roundcube 维持"稳定线 + LTS 低维护线"双轨：1.7.x 为当前稳定线，随安全报告滚动发布补丁版本；1.6.x 进入低维护模式，只接收安全更新与个别严重缺陷修复。从上文新闻列表可见两条线并行出补丁（1.7.5 与 1.6.20 同日发布）。这种策略决定了选型姿势：新部署直接上 1.7.x 稳定线；已在线上跑 1.6.x 的实例可留在 LTS 线按月打安全补丁，无需追赶大版本。

5. 量化选型对比

Webmail 这一层的候选不多，但各家的定位差异很大。下表从"它替你解决了什么、你需要自己准备什么"两个维度做横向对比（对比对象均为常见开源方案；关于各套件的完整对比见本站对应专栏）：

维度RoundcubeSnappyMailSOGoNextcloud Mail邮件套件内置 Webmail
定位独立 Webmail 客户端独立 Webmail 客户端（RainLoop 社区继任者）群件服务器套件（自带 Webmail/日历/联系人）Nextcloud 内置邮件应用mailcow/iRedMail/Mailu 等套件的组成部分
实现语言PHPPHPObjective-CPHP（Nextcloud 应用）视套件而定
与邮件后端的耦合零耦合：指向任意 IMAP/SMTP 即可零耦合：同 Roundcube深耦合：自身参与邮件存储与群件数据依赖 Nextcloud 账号体系与套件其他组件预集成
部署形态LAMPP 栈上一个 Web 目录，或官方 Docker 镜像同为 PHP 应用独立服务进程需整套 Nextcloud随套件整体部署
界面语言80+多语言多语言多语言继承组件
插件生态Composer 插件仓库 + Packagist，社区活跃有插件体系，规模较小以套件功能为主Nextcloud 应用生态套件内部自定义
许可证GPL-3.0+（皮肤/插件例外）MIT 等宽松许可LGPLAGPL（随 Nextcloud）混合
典型场景已有 IMAP/SMTP 后端，补一个成熟稳定、生态丰富的 Webmail追求轻快、界面现代的前端需要日历/联系人/协动的群件场景已在用 Nextcloud、不想再多养一个应用想要"一条命令全家桶"

几个选型判断要点：

  1. 有后端、缺前端 → Roundcube 是默认答案。 它对后端零假设（任何 IMAP4 rev1 + SMTP 都能接），这让它在"Postfix+Dovecot 自建"这种经典组合上是事实标准——iRedMail、Mail-in-a-Box、Mailu 都把 Roundcube 作为内置 Webmail（见本站 iRedMail 1.8.8 介绍与选型指南、Mail-in-a-Box v77 介绍与选型指南、Mailu 2024.06.65 介绍与选型指南）。mailcow 则选择了 SOGo 作为 Webmail/群件层（见 Mailcow 2026-09a 介绍与选型指南）。
  2. 没有后端 → Roundcube 不是答案。 它解决不了收发信本身；无后端时应该看 mailcow、iRedMail、Mail-in-a-Box、Mailu 这类全套件，或本站覆盖的 Maddy、Postal 等组件（Maddy 0.9.6 介绍与选型指南、Postal 3.3.7 介绍与选型指南）。
  3. 想要日历/联系人同步等群件能力 → 注意 Roundcube 的边界。 核心 Roundcube 只是邮件客户端，日历/任务依赖第三方插件或外部集成（如 Nextcloud 的 "Roundcube Mail" 应用做 SSO 嵌入）。需要完整群件时，SOGo 或 Kolab 系方案更对口。
  4. 从发行版仓库装要检查版本滞后。 Ubuntu 22.04 仓库收录的是 1.5.0，与官方稳定线 1.7.x 差了一个大版本；对安全敏感的公网部署建议走官方 Complete 包或 Docker 镜像，用 bin/update.sh 滚动升级（详见本专栏安装篇）。
  5. 手机端使用：elastic 皮肤本身响应式适配移动浏览器；官方明确不提供原生移动 App，并提醒市面借其名开发的应用未经背书、需自行甄别。

6. 适用场景与选型建议

综合以上，Roundcube 适合：已经拥有（或计划搭建）IMAP/SMTP 后端，需要一个浏览器端邮件界面的场景——个人/家庭自建邮箱、中小企业的邮件基础设施、虚拟主机服务商的客户 Webmail、以及 iRedMail/Mail-in-a-Box/Mailu 等套件的默认前端。它的优势是成熟稳定（20 年历史的项目、月度安全更新）、对后端零耦合、PHP 部署门槛低、插件与汉化生态完善。

不适合的场景：需要完整群件（日历/任务/协动文档开箱即用）、希望 Webmail 承担反垃圾/投递等服务器职能、或完全没有 IMAP/SMTP 后端却想"装一个就能收发邮件"的场合——这些需求请回到套件选型（mailcow/iRedMail/Mailu/Mail-in-a-Box）或 SOGo 这类群件方案。

本文为选型篇。如何在 Ubuntu 22.04 上从零部署并打通"登录即收发"的完整链路，见本专栏《Ubuntu 22.04 安装 Roundcube 1.7.5 指南》；配置参数逐项解析见《Roundcube 1.7.5 配置参数详解》，命令行运维工具见《Roundcube 1.7.5 常用 CLI 命令详解》。

参考资料