如何在Spring Boot Web应用中添加用户自有邮箱发信功能？

完全可行，而且是当前主流邮箱服务商（Gmail、Outlook、Yahoo等）推荐的安全认证方式，替代传统的明文密码验证，既能规避低安全应用权限的风险，也符合现代安全规范。核心逻辑就是通过OAuth 2.0获取用户邮箱的access_token（短期认证凭证）和refresh_token（用于access_token过期后自动刷新），以此完成SMTP服务的身份认证。

1. 添加依赖 #

在项目构建文件中引入Spring Mail和Spring Security OAuth2客户端依赖：

Maven（pom.xml） #

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-mail</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

Gradle（build.gradle） #

implementation 'org.springframework.boot:spring-boot-starter-mail'
implementation 'org.springframework.boot:spring-boot-starter-oauth2-client'

2. 配置OAuth 2.0客户端信息 #

在application.yml或application.properties中配置对应邮箱服务商的OAuth2参数（以Gmail为例，其他邮箱需参照对应平台文档调整）：

spring:
  security:
    oauth2:
      client:
        registration:
          google:
            client-id: 你的Google OAuth客户端ID
            client-secret: 你的Google OAuth客户端密钥
            scope: https://mail.google.com/, email, profile
        provider:
          google:
            authorization-uri: https://accounts.google.com/o/oauth2/auth
            token-uri: https://oauth2.googleapis.com/token
            user-info-uri: https://www.googleapis.com/oauth2/v3/userinfo
            user-name-attribute: sub

注意：需先前往对应邮箱的开发者平台（如Google Cloud Console）创建OAuth 2.0客户端，获取client-id和client-secret，同时配置正确的重定向URI。

3. 实现OAuth2 Token的获取与管理 #

通过Spring Security的OAuth2客户端流程引导用户完成授权，获取并存储access_token和refresh_token（建议关联用户信息存入数据库或Redis）：

@Service
public class OAuth2TokenService {
    @Autowired
    private OAuth2AuthorizedClientService authorizedClientService;

    public OAuth2AccessToken getAccessToken(OAuth2AuthenticationToken authentication) {
        OAuth2AuthorizedClient client = authorizedClientService.loadAuthorizedClient(
                authentication.getAuthorizedClientRegistrationId(),
                authentication.getName()
        );
        return client.getAccessToken();
    }

    // 实现refresh_token刷新逻辑，当access_token过期时自动获取新凭证
    public OAuth2AccessToken refreshToken(String registrationId, String username) {
        // 可通过OAuth2AuthorizedClientManager或直接调用服务商的token刷新接口实现
        // 具体逻辑需参照对应邮箱服务商文档调整
    }
}

4. 配置基于OAuth2的SMTP邮件发送 #

Spring Mail默认不支持OAuth2认证，需自定义Authenticator来注入access_token：

@Configuration
public class MailConfig {
    @Autowired
    private OAuth2TokenService tokenService;

    @Bean
    public JavaMailSender javaMailSender(OAuth2AuthenticationToken authentication) {
        JavaMailSenderImpl mailSender = new JavaMailSenderImpl();
        // 以Gmail为例，其他邮箱需调整SMTP地址和端口
        mailSender.setHost("smtp.gmail.com");
        mailSender.setPort(587);
        mailSender.setProtocol("smtp");
        // 填入授权用户的邮箱地址
        mailSender.setUsername(authentication.getName());

        Properties props = mailSender.getJavaMailProperties();
        props.put("mail.smtp.auth", "true");
        props.put("mail.smtp.starttls.enable", "true");
        props.put("mail.smtp.auth.mechanisms", "XOAUTH2");

        // 注入OAuth2 access_token作为认证凭证
        String accessToken = tokenService.getAccessToken(authentication).getTokenValue();
        mailSender.setSession(getOAuth2MailSession(mailSender, accessToken));

        return mailSender;
    }

    private Session getOAuth2MailSession(JavaMailSenderImpl mailSender, String accessToken) {
        return Session.getInstance(mailSender.getJavaMailProperties(), new Authenticator() {
            @Override
            protected PasswordAuthentication getPasswordAuthentication() {
                return new PasswordAuthentication(mailSender.getUsername(), accessToken);
            }
        });
    }
}

5. 实现邮件发送业务逻辑 #

@Service
public class EmailService {
    @Autowired
    private JavaMailSender javaMailSender;

    public void sendEmail(String to, String subject, String content) throws MessagingException {
        MimeMessage message = javaMailSender.createMimeMessage();
        MimeMessageHelper helper = new MimeMessageHelper(message, true);

        helper.setFrom(javaMailSender.getUsername());
        helper.setTo(to);
        helper.setSubject(subject);
        helper.setText(content, true); // true表示支持HTML格式内容

        javaMailSender.send(message);
    }
}

• Token持久化：refresh_token需持久存储，因为access_token有效期较短（如Gmail为1小时），过期后需用refresh_token自动获取新凭证，避免用户重复授权。
• 服务商权限要求：不同邮箱的OAuth2权限范围不同，比如Gmail需申请https://mail.google.com/权限才能进行SMTP认证，需严格遵循服务商文档配置。
• SMTP参数调整：不同邮箱的SMTP地址和端口有差异，比如Outlook使用smtp.office365.com、端口587，需根据实际情况修改。

内容的提问来源于stack exchange，提问作者Soumitra Agrawal