曾经稀里糊涂地用过好几回，但是一直没有认真研究过。论坛上关于使用方法众说纷纭，可能分别适用于不同的场景，但是很少看到完整的介绍。刚刚看到DigitalOcean上这一篇文章说的比较清楚了。
How To use an SPF Record to Prevent Spoofing & Improve E-mail Reliability
作为一个text记录，spf字段的结构如下：
<spf preamble> <address list>
v=spf1 spf记录的起始标志。目前只有1号版本的spf，所以只有这一种写法。
后面是一个地址或者名称的列表，列表项用空格符隔开。
在每个地址列表项之前，可以有如下四种修饰符：
- + 表示该地址被明确允许发送来自该域名的邮件。该修饰符可省略。
- – 表示该地址被明确禁止发送来自该域名的邮件。
- ? 表示对该地址目前暂时没有策略。
- ~ 表示对该地址应该使用柔性策略，接收方应该接受，但是可以进行特殊标记。
地址列表项本身有如下几种格式：
- all 匹配任何地址；
- a 匹配该域中任何A记录地址；
- ip4: 匹配紧随其后的IPv4地址或者地址段；
- ip6: 匹配紧随其后的IPv6地址或者地址段；
- mx 匹配该域中的任何mx记录地址；
因此，假设一个域domainabc.com有spf记录如下：
v=spf1 ip4:123.23.4.5 -all
这个记录的意思是，除了123.23.4.5这个地址之外，其他任何地址发送来自domainabc.com的邮件，都应该被拒绝。
考虑到高可用性，一个域通常至少有两台smtp服务器在工作，因此这条记录更可能是这样的：
v=spf1 ip4:123.23.4.5 ip4:123.23.4.5 -all
如果该域之前已经有MX记录，指向就是123.23.4.5和123.23.4.6，那么该记录可以简化为：
v=spf1 mx -all
如果有一天，domainabc.com需要额外允许一个网段发送邮件，可以将记录改为：
v=spf1 mx ip4:107.8.9.0/24 -all
假设domainabc.com需要迁移自己的邮件服务器，mx记录已经切换，但是原本的邮件服务器需要逐步停止使用，那么可以首先这么修改：
v=spf1 mx ip4:107.8.9.0/24 ?123.23.4.5 -all
其中123.23.4.5是准备退休的邮件服务器。经过一段时间之后，可以再把记录改为：
v=spf1 mx ip4:107.8.9.0/24 ~123.23.4.5 -all
最后，确认所有内部应用都开始使用新的服务器了，再把原来的服务器地址防到禁止列表里去。
v=spf1 mx ip4:107.8.9.0/24 -all
注意最后的“-all”匹配任意地址。就是这样。