使用OAuth2认证通过IMAP连接Outlook失败及临时方案稳定性咨询

问题核心 #

你遇到的问题本质是Microsoft OAuth2权限体系的资源受众不匹配：

• 用Microsoft Graph的无前缀scope获取的token，受众（aud声明）指向Graph API而非Outlook IMAP服务，因此IMAP服务器拒绝认证。
• 直接请求带https://outlook.office.com/前缀的scope时，因应用未配置对应旧版Outlook API权限（目前已整合到Graph），授权端点返回invalid_scope。

官方支持的稳定解决方案 #

1. 确认应用权限配置 #

确保在Microsoft Entra ID中注册的应用已添加以下Microsoft Graph委托权限，并完成用户/管理员同意：

• IMAP.AccessAsUser.All
• SMTP.Send
• User.Read
• offline_access

2. 获取正确受众的Access Token #

在授权码流的token请求阶段，添加resource=https://outlook.office.com参数（v2端点兼容此参数），确保生成的token受众指向Outlook服务：

POST https://login.microsoftonline.com/common/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

client_id=你的客户端ID
&client_secret=你的客户端密钥
&code=授权码
&redirect_uri=你的回调地址
&grant_type=authorization_code
&scope=IMAP.AccessAsUser.All SMTP.Send User.Read offline_access
&resource=https://outlook.office.com

解析token（可通过jwt.ms验证），确认aud字段为https://outlook.office.com，scp字段包含所需权限。

3. 调整Java Mail配置 #

确保IMAP连接使用正确的服务器地址和认证机制：

Properties props = new Properties();
props.put("mail.imap.host", "outlook.office365.com"); // 个人/企业邮箱统一使用此地址
props.put("mail.imap.port", "993");
props.put("mail.imap.ssl.enable", "true");
props.put("mail.imap.auth.mechanisms", "XOAUTH2");
props.put("mail.imap.auth.login.disable", "true");
props.put("mail.imap.auth.plain.disable", "true");

Session session = Session.getInstance(props);
session.setDebug(true);

Store store = session.getStore("imap");
store.connect(null, 用户邮箱地址, 正确的Access Token);

关于你的临时解决方案 #

你通过refresh token换取Outlook前缀scope的方式之所以生效，是因为refresh token包含用户已授予的全部权限上下文，可跨资源请求兼容的scope。但这种方式属于未公开的“技巧性”操作，Microsoft可能随时调整权限验证逻辑，不建议长期依赖。

额外注意事项 #

• 个人Outlook邮箱的IMAP服务器已统一为outlook.office365.com，不再使用outlook.live.com。
• 确保授权码流的授权端点使用https://login.microsoftonline.com/common/oauth2/v2.0/authorize（兼容多租户及个人账户）。

内容的提问来源于stack exchange，提问作者Serhii Bezkostnyi