使用Nodemailer+OAuth2通过Entra Outlook发邮件遇535 5.7.8认证错误

错误原因分析 #

应用密码方式失败 #

1. SMTP服务器配置错误：你使用自定义域名entradomain.com作为SMTP主机，而微软Outlook官方SMTP服务器应为smtp.office365.com，自定义域名可能未正确配置SMTP服务或限制了认证方式。
2. 租户/用户SMTP AUTH被禁用：多数企业Entra租户为安全起见，会禁用传统SMTP认证（包括应用密码），即使账号启用MFA生成了应用密码也无法使用。
3. 服务器认证机制限制：从日志可见SMTP服务器仅支持DIGEST-MD5 PLAIN LOGIN三种认证方式，应用密码认证请求被直接拒绝，说明租户层面禁止了该认证路径。

OAuth2 SMTP方式失败 #

1. SMTP服务器不支持XOAUTH2：日志中服务器返回的AUTH列表里没有XOAUTH2，意味着该服务器不支持OAuth2认证，用XOAUTH2方式请求必然被拒绝。
2. 权限流错误：你使用的是客户端凭证流，该流适用于应用自身发起操作，而非模拟用户发送邮件；SMTP OAuth2通常需要授权码流，但你的服务器不支持XOAUTH2，此路径根本走不通。

解决方案 #

方案1：改用Microsoft Graph API发送邮件（推荐） #

微软官方推荐在Entra环境下使用Microsoft Graph API替代SMTP，避开SMTP认证限制，同时更好适配MFA和现代安全策略。

步骤1：配置Entra应用权限

1. 在Entra管理中心，找到你的注册应用，添加应用权限：Mail.Send（类型为Application），并请求管理员同意该权限。
2. 确保应用已获得Mail.Send的权限（需管理员审批）。

步骤2：代码实现（客户端凭证流，应用代表用户发送）

安装依赖：

npm install @microsoft/microsoft-graph-client @azure/identity

代码示例：

// msalConfig.js
const { ClientCredentialCredential } = require('@azure/identity');

// 配置凭证
const credential = new ClientCredentialCredential(
  '你的租户ID',
  '你的客户端ID',
  '你的客户端密钥'
);

module.exports = credential;

// 发送邮件核心代码
const credential = require('./msalConfig');
const { Client } = require('@microsoft/microsoft-graph-client');
const { TokenCredentialAuthenticationProvider } = require('@microsoft/microsoft-graph-client/authProviders/azureTokenCredentials');
const fs = require('fs');

async function sendEmailWithPDF() {
  try {
    // 初始化Graph客户端
    const authProvider = new TokenCredentialAuthenticationProvider(credential, {
      scopes: ['https://graph.microsoft.com/.default'],
    });
    const graphClient = Client.initWithMiddleware({ authProvider });

    // 读取PDF文件并转为base64
    const pdfBuffer = fs.readFileSync('./test.pdf');
    const pdfBase64 = pdfBuffer.toString('base64');

    // 构造邮件内容
    const emailMessage = {
      subject: '工作邮件（带PDF附件）',
      body: {
        contentType: 'HTML',
        content: '<p>这是通过Microsoft Graph发送的测试邮件，附带PDF附件。</p>'
      },
      toRecipients: [
        {
          emailAddress: {
            address: '收件人邮箱@domain.com'
          }
        }
      ],
      attachments: [
        {
          "@odata.type": "#microsoft.graph.fileAttachment",
          "name": "文档.pdf",
          "contentType": "application/pdf",
          "contentBytes": pdfBase64
        }
      ]
    };

    // 发送邮件（指定发送用户的邮箱）
    await graphClient.api('/users/你的邮箱@domain.cz/sendMail')
      .post({ message: emailMessage, saveToSentItems: true });

    console.log('邮件发送成功');
  } catch (error) {
    console.error('发送失败:', error.responseBody || error.message);
  }
}

sendEmailWithPDF();

方案2：尝试启用SMTP AUTH（仅当租户允许时） #

如果企业允许传统SMTP认证，可按以下步骤修复：

1. 修正SMTP服务器配置：将host改为smtp.office365.com，其他参数保持port:587、secure:false。
2. 启用用户SMTP AUTH：在Entra管理中心>用户>选择目标用户>邮件>邮件设置>启用SMTP AUTH。
3. 确认租户SMTP AUTH设置：在Exchange管理中心>邮件流>传输设置>SMTP AUTH，确保全局或特定用户允许SMTP AUTH。

内容的提问来源于stack exchange，提问作者Stibi