使用C# + MailKit实现Microsoft SMTP OAuth2认证始终失败求助

关键问题排查与修复 #

1. API权限配置错误（核心问题） #

你用的是无用户交互的客户端凭证模式，必须在Microsoft Entra中配置应用权限（而非委托权限）：

• 添加Office 365 Exchange Online的SMTP.Send应用权限
• 要求全局管理员完成管理员同意（否则令牌不会包含该权限）

2. SMTP连接未启用SSL #

Office 365 SMTP强制要求加密连接，你的代码中Connect方法未指定SSL选项，导致认证失败。修正为：

smtpClient.Connect("smtp.office365.com", 587, SecureSocketOptions.StartTls);

（端口587对应StartTls，465对应SslOnConnect，二选一即可）

3. 发件人邮箱参数错误 #

你的代码中SaslMechanismOAuth2的第一个参数用了收件人邮箱，这是致命错误！OAuth2认证时必须传入发件人邮箱，因为令牌是授权该应用操作此邮箱的。

4. Account字段为null是正常现象 #

客户端凭证模式没有用户上下文，AuthenticationResult.Account必然为null，这不是问题根源，无需关注。

修正后的完整代码 #

获取令牌函数（无需修改，确保权限配置正确） #

var clientId = ""; // Azure App Client ID
var tenantId = ""; // Azure Tenant ID
var clientSecret = ""; // Azure App Client Secret

var authority = $"https://login.microsoftonline.com/{tenantId}/v2.0";
var scopes = new[] { "https://outlook.office365.com/.default" }; 

IConfidentialClientApplication app = ConfidentialClientApplicationBuilder.Create(clientId)
    .WithClientSecret(clientSecret)
    .WithAuthority(new Uri(authority))
    .Build();

return await app.AcquireTokenForClient(scopes).ExecuteAsync();

邮件发送函数（修正核心错误） #

MimeMessage email = new();
var senderEmail = _configuration.GetValue<string>("Smtp:SenderEmail"); // 配置发件人邮箱
var receiverName = _configuration.GetValue<string>("Smtp:ReceiverName");
var receiverEmail = _configuration.GetValue<string>("Smtp:ReceiverEmail");

email.From.Add(new MailboxAddress(model.UserName, senderEmail));
email.To.Add(new MailboxAddress(receiverName, receiverEmail));
email.Subject = "New feedback";

BodyBuilder bodyBuilder = new()
{
    HtmlBody = "<p>邮件内容</p>"
};
email.Body = bodyBuilder.ToMessageBody();

AuthenticationResult authResult = await GetAccessToken();
// 传入发件人邮箱而非收件人
var oAuth2 = new SaslMechanismOAuth2(senderEmail, authResult.AccessToken);

using SmtpClient smtpClient = new();
// 启用加密连接
await smtpClient.ConnectAsync("smtp.office365.com", 587, SecureSocketOptions.StartTls);
await smtpClient.AuthenticateAsync(oAuth2);
await smtpClient.SendAsync(email);
await smtpClient.DisconnectAsync(true);

额外验证步骤 #

• 用令牌解析工具检查令牌的roles字段，确认包含SMTP.Send权限
• 确保发件人邮箱是Office 365/Exchange Online工作/学校账户（客户端凭证模式不支持个人Outlook.com）
• 检查Entra应用的客户端密钥未过期，租户ID/客户端ID配置正确

内容的提问来源于stack exchange，提问作者Stefan