使用Jakarta Mail对接Exchange Online时SASL认证失败排查

一、导致SASL认证失败的可能原因 #

• OAuth2令牌权限或受众不匹配：
  即使指定了https://outlook.office365.com/.default范围，若应用注册未添加SMTP.Send权限、未获得管理员同意，或令牌的aud（受众）字段不是https://outlook.office365.com/，都会触发认证失败。
• Jakarta Mail配置缺失关键参数：
  未正确设置mail.smtp.sasl.authorizationid（需指定发件人邮箱）、未开启mail.smtp.sasl.auth，或SASL机制未明确指定为XOAUTH2，会导致令牌无法正确传递给Exchange Online。
• 令牌状态异常：
  令牌过期、签名无效，或被租户管理员撤销，都会导致认证失败。
• Exchange Online租户限制：
  发件人邮箱未启用SMTP客户端认证（默认可能禁用）、无有效Exchange Online许可证，或租户条件访问策略阻止了非信任客户端的SMTP认证请求。

二、确保XOAUTH2认证生效的额外步骤 #

1. 验证OAuth2令牌内容
   用jwt.io解码令牌，确认：

   • aud字段值为https://outlook.office365.com/
   • 应用权限模式下，roles字段包含SMTP.Send；委派权限模式下，scp字段包含SMTP.Send
   • exp字段未过期，令牌签名有效

2. 补全Jakarta Mail SMTP配置
   确保配置包含以下关键参数：

   mail.smtp.host=smtp.office365.com
   mail.smtp.port=587
   mail.smtp.starttls.enable=true
   mail.smtp.starttls.required=true
   mail.smtp.sasl.auth=true
   mail.smtp.sasl.mechanisms=XOAUTH2
   mail.smtp.sasl.authorizationid=your-sender-email@domain.com
   mail.debug=true # 开启调试便于排查
   

   代码中需将OAuth2令牌作为密码传入认证逻辑：

   Session session = Session.getInstance(props, new Authenticator() {
       @Override
       protected PasswordAuthentication getPasswordAuthentication() {
           return new PasswordAuthentication("your-sender-email@domain.com", oauth2Token);
       }
   });
   

3. 确认Azure应用注册权限配置

   • 登录Azure门户，进入目标应用注册，在「API权限」中添加Office 365 Exchange Online的SMTP.Send应用权限（若使用客户端凭证模式）或委派权限（若为用户交互场景）
   • 确保全局管理员已同意该权限（应用权限需管理员手动同意）

4. 启用Exchange Online SMTP客户端认证
   运行Exchange Online PowerShell命令检查并启用：

   # 检查状态
   Get-CASMailbox your-sender-email@domain.com | Select-Object Name, SmtpClientAuthenticationDisabled
   # 启用SMTP客户端认证
   Set-CASMailbox your-sender-email@domain.com -SmtpClientAuthenticationDisabled $false
   

5. 排查租户安全策略

   • 确认租户未启用阻止SMTP客户端认证的条件访问策略
   • 确保Exchange Online的现代认证已启用（默认启用，可通过PowerShell确认）

内容的提问来源于stack exchange，提问作者Quoc Dang