使用Google服务账户通过smtp.gmail.com发邮件遇XOAUTH2认证失败

核心问题：使用服务账户通过JavaMail的XOAUTH2认证发送Gmail失败，SMTP返回555错误。本质原因是服务账户本身无Gmail邮箱权限，必须通过域范围委派模拟真实GSuite/Gmail用户，同时凭证生成与JavaMail配置存在错误。

一、先完成Google端必备配置 #

1. 启用服务账户的域范围委派 #

在Google Cloud控制台进入IAM & Admin → 服务账户，找到目标服务账户：

• 点击「编辑」，勾选「启用G Suite域范围委派」，保存。
• 复制服务账户的「客户端ID」（后续要用）。

2. 在Google Workspace Admin授权范围 #

登录Google Workspace Admin控制台，进入安全 → API控制 → 域范围委派：

• 添加新的客户端ID（填入刚才复制的服务账户客户端ID）。
• 授权以下OAuth范围：https://mail.google.com/、https://www.googleapis.com/auth/gmail.send，保存。

二、修正凭证生成代码 #

服务账户必须指定要模拟的真实Gmail用户，不能直接用服务账户邮箱发送。移除手动设置过期时间的代码，GoogleCredential会自动处理token生命周期：

GoogleCredential credential = GoogleCredential.fromStream(fileStream)
    .createScoped(ImmutableSet.of("https://mail.google.com/", "https://www.googleapis.com/auth/gmail.send"))
    .setServiceAccountUser("your-real-gmail-account@your-domain.com"); // 替换为要用来发邮件的主账户邮箱

三、修正JavaMail配置与认证逻辑 #

普通Authenticator无法正确适配XOAUTH2流程，需调整配置并确保认证信息正确：

推荐配置方案 #

properties.setProperty("mail.smtp.starttls.required", "true");
properties.setProperty("mail.smtp.sasl.enable", "true");
properties.setProperty("mail.smtp.sasl.mechanisms", "XOAUTH2");
properties.setProperty("mail.smtp.sasl.authorizationid", "your-real-gmail-account@your-domain.com"); // 模拟的用户邮箱
properties.setProperty("mail.smtp.auth.login.disable", "true");
properties.setProperty("mail.smtp.auth.plain.disable", "true");

properties.setProperty("mail.smtp.host", "smtp.gmail.com");
properties.setProperty("mail.smtp.port", "587");
properties.setProperty("mail.transport.protocol", "smtp");
properties.setProperty("mail.smtp.auth", "true");

// 配置自定义认证器，用户名填模拟的用户邮箱，密码填access token
Authenticator authenticator = new Authenticator() {
    @Override
    protected PasswordAuthentication getPasswordAuthentication() {
        return new PasswordAuthentication("your-real-gmail-account@your-domain.com", credential.getAccessToken());
    }
};

Session session = Session.getInstance(properties, authenticator);

备选：手动构造XOAUTH2认证字符串 #

若上述方案仍失败，可手动构造认证命令：

String oauthToken = credential.getAccessToken();
String authContent = String.format("user=%s\1auth=Bearer %s\1\1", "your-real-gmail-account@your-domain.com", oauthToken);
String encodedAuth = Base64.getEncoder().encodeToString(authContent.getBytes(StandardCharsets.UTF_8));

// 连接后手动发送认证命令
Transport transport = session.getTransport();
transport.connect();
transport.issueCommand("AUTH XOAUTH2 " + encodedAuth, 235);

四、排查555错误的额外要点 #

• 确保模拟的Gmail账户未被限制发送（无反垃圾/反滥用处罚）。
• 确认JavaMail版本≥1.6.0，依赖包正确（Maven示例）：

<dependency>
    <groupId>com.sun.mail</groupId>
    <artifactId>javax.mail</artifactId>
    <version>1.6.2</version>
</dependency>

• 避免使用https://www.googleapis.com/auth/gmail.send单独权限，优先用https://mail.google.com/全权限减少权限问题。

内容的提问来源于stack exchange，提问作者Juan Maria Martin