最近对几台qmail做了测试，通过telnet email server 25 port，helo;mail from:; rcpt to: "本机用户"，只要这个帐号在本地存在，就都会返回OK的消息，这样不是可以用来猜测用户帐号了吗?

这不是漏洞。这是必须的。