aegis-email-sms 是 as-foss/aegis-skills 中的审计手册模块，面向邮件与短信/OTP 流程。其用途是审计所有发送邮件或短信、接收邮件或 ESP webhook、生成或消费邮箱验证令牌、魔法链接、OTP 的代码路径与仓库产物，以及变更用户邮箱或手机号的流程。每条发现需给出 file:line 证据、静态优先的复现步骤、带理由的严重性与框架正确的修复；基于仓库产物得出的 DNS 结论须标注为 artifact-based，实时 DNS 确认标记为 requires-network。
主要能力按七组检查展开：A. 外发防伪保护产物：定位发送域，查 SPF 证据与 all 终止符（+all/?all 为保护空void，~all 需 DMARC 补偿，-all 为目标）；统计 DNS 查询机制对 10 次查找上限；查 DKIM selector 产物与轮换痕迹；查 DMARC 策略与 rua 聚合报告，p=none 长期冻结为发现；核查对齐规则（relaxed/strict）。B. 发送基础设施标记：grep 凭据（交 SECRETS 模块）、直发 SMTP 与 provider API 选择、From 显示名是否用户可控、Reply-To 是否未校验透传。C. 入站邮件处理面：确定是否收信，解析器版本维护、自动链接抓取交 SSRF、ESP webhook 签名校验与重放窗口、防未认证状态变更。D. 验证与魔法链接：令牌铸造熵值、单次使用、过期、未验证账户功能门控矩阵、GET 验证副作用。E. 通知内容注入：To/Cc/Bcc/Subject/Reply-To/自定义头 CR/LF 注入，模板渲染。F. OTP/SMS：RNG 来源、窗口、单次、尝试上限、SMS pumping 控制（E.164 严格性、配额、黑名单、成本告警）、统一响应、SIM-swap 诚实说明、OTP 日志泄漏。G. 联系方式变更：URL query 中传递 OTP/token、重发限流、旧联系方式释放前是否验证新联系方式。
使用方式为在只读仓库访问下按七组顺序检查，无运行实例也可；动态测试仅限明确授权环境与自有邮箱。限制：实时 DNS 超出仓库范围，须标注 requires-network；密码重置、MFA 层级、密钥盘点、附件解析深层、SSRF 机制、API 语义、通用注入、CSPRNG 原语选择等均不在本模块范围，仅以指针交叉引用。