ASP.NET Identity触发邮件时SMTP报错5.7.64 TenantAttribution问题

核心问题 #

在.NET 8 + Identity的项目中，自定义的IdentityEmailService（实现IEmailSender<AppUser>）存在调用差异：

• 通过DebugController直接调用SendEmailConfirmationLink：SMTP中继正常发送邮件
• 通过Identity内置端点触发同一方法：中继返回错误5.7.64 TenantAttribution; Relay Access Denied [ValidationStatus of '' is EmptyCertificate]

已知条件：

• 两种场景使用同一个IdentityEmailService类型的实例
• SMTP中继配置（IP验证、无需证书）确认正确
• 触发发送前对比SmtpClient属性，二者完全一致

可能的原因分析 #

1. 请求上下文的隐性安全策略差异
   DebugController的调用在标准HTTP请求作用域内，而Identity端点处理身份流程时，可能触发了ASP.NET Core默认的安全中间件策略，间接修改了SMTP请求的底层TLS行为。即使配置了无需证书，某些上下文会强制要求客户端提供证书，导致中继返回EmptyCertificate错误。

2. 作用域与服务实例的状态污染
   虽然IdentityEmailService是瞬态注册，但依赖的单例服务可能存在请求上下文相关的状态。比如某些全局TLS配置被Identity的请求上下文修改，导致后续的SMTP请求继承了错误的证书要求。

3. SMTP中继的元数据验证逻辑
   中继的IP验证可能结合了请求的其他元数据（如HELO/EHLO字段）。Identity触发的请求可能未正确设置HELO，导致中继拒绝请求；或者在某些托管环境中，Identity后台任务的出站IP与HTTP请求的出站IP不一致，触发IP验证失败。

针对性解决方案 #

1. 显式强制Mailkit忽略证书验证 #

在IdentityEmailService的发送逻辑中，手动覆盖证书验证回调，避免上下文自动应用策略：

public async Task SendEmailConfirmationLinkAsync(AppUser user, string email, string confirmationLink)
{
    using var client = new SmtpClient();
    // 显式禁用证书验证（仅适用于信任的内部中继）
    client.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) => true;
    // 可选：指定固定TLS版本，避免自动协商的问题
    client.SslProtocols = System.Security.Authentication.SslProtocols.Tls12;
    
    await client.ConnectAsync(_smtpSettings.Host, _smtpSettings.Port, SecureSocketOptions.Auto);
    // 可选：显式设置HELO字段，匹配中继的验证要求
    client.HeloName = "your-app-domain.example.com";
    
    // 执行邮件发送逻辑
    var message = new MimeMessage();
    // ... 构建邮件内容
    await client.SendAsync(message);
    await client.DisconnectAsync(true);
}

2. 检查并统一作用域上下文 #

如果Identity是在后台任务中触发邮件发送，确保手动创建独立的DI作用域，避免共享请求上下文的状态：

// 在自定义Identity用户创建逻辑中（比如RegisterModel）
using var scope = _serviceProvider.CreateScope();
var emailSender = scope.ServiceProvider.GetRequiredService<IEmailSender<AppUser>>();
await emailSender.SendEmailConfirmationLinkAsync(user, email, confirmationLink);

同时，在IdentityEmailService中注入IHttpContextAccessor，对比两种场景下的HttpContext是否存在差异（比如是否为null、是否有特殊请求头），确认是否在非HTTP上下文执行。

3. 调整服务注册方式 #

将IdentityEmailService从瞬态改为单例注册（因依赖均为单例，且自身无状态），避免不同作用域下的实例受上下文状态影响：

// Program.cs中修改注册代码
builder.Services.AddSingleton<IEmailSender<AppUser>, IdentityEmailService>();

4. 排查SMTP中继日志 #

查看中继服务器的详细访问日志，确认：

• 两种请求的源IP是否一致
• 请求的HELO字段是否符合中继要求
• 中继是否对某些请求标记了额外的验证规则

内容的提问来源于stack exchange，提问作者Ross Brasseaux