邮箱式中继方案安全性最好，但引入了额外状态管理和信任假设：中继服务本身必须被信任，命名空间的访问控制、消息过期、防重放都需要仔细设计，因此作者感觉过于复杂。