Microsoft 365 SMTP OAuth2认证：MFA用户无法通过问题排查

针对你遇到的MFA用户SMTP OAuth2认证报错451: 4.7.0 Temporary server error. Please try again later. PRX5，结合配置和JWT payload，核心问题出在令牌范围、MFA验证识别以及应用配置上，以下是具体定位和修复步骤：

关键问题点 #

1. 令牌范围不匹配：你请求的https://outlook.office365.com/.default范围虽能拿到SMTP.Send权限，但SMTP服务对MFA用户的令牌有更严格的场景要求，专用的https://outlook.office365.com/SMTP.Send范围才能确保MFA断言被正确识别。
2. MFA验证未被正确标记：你的JWT中acr字段值为1，而MFA验证通过的令牌acr应为2，说明当前令牌的MFA验证流程未被SMTP网关认可。
3. 公共客户端流配置缺失：如果你的应用是桌面/控制台类遗留应用，未开启公共客户端流会导致MFA交互式验证的令牌无法被SMTP服务接受。

修复步骤 #

1. 调整令牌请求范围 #

将认证范围从.default改为SMTP专用范围，确保令牌是针对SMTP场景生成的：

var scopes = new[] { "https://outlook.office365.com/SMTP.Send" };
var authResult = await _msalClient.AcquireTokenInteractive(scopes)
    .WithAccount(userAccount)
    .WithPrompt(Prompt.SelectAccount)
    .ExecuteAsync();

2. 强制触发交互式MFA验证 #

对于MFA用户，强制每次获取令牌时重新完成MFA流程，避免静默刷新导致的MFA断言失效：

var authResult = await _msalClient.AcquireTokenInteractive(scopes)
    .WithAccount(userAccount)
    .WithPrompt(Prompt.ForceLogin)
    .ExecuteAsync();

3. 开启应用注册的公共客户端流 #

在Azure AD应用注册中：

• 进入「认证」页面
• 在「高级设置」中开启「允许公共客户端流」（设置为「是」）

4. 验证令牌的MFA标记 #

重新获取令牌后，检查acr字段是否为2，amr数组是否包含mfa，确保MFA验证被正确记录。

额外检查项 #

• 确认SMTP连接参数：使用smtp.office365.com，端口587（启用STARTTLS）
• 确保MailKit认证时传递的是Access Token而非ID Token：

var oauth2Mechanism = new SaslMechanismOAuth2(userUpn, authResult.AccessToken);
await smtpClient.AuthenticateAsync(oauth2Mechanism);

内容的提问来源于stack exchange，提问作者Master_T