使用MailKit与Google APIs实现Gmail OAuth2认证的异常问题

问题背景 #

• Win10桌面应用中使用C#结合MailKit与Google API实现Gmail OAuth2认证，client.AuthenticateAsync调用非必现随机失败，错误提示为「用户ID和密码错误」
• 失败/成功场景下客户端凭证完全一致；Gmail账户状态正常，未触发身份验证提示；更换凭证及账户后问题仍存在
• 基于Chilkat的同逻辑代码（使用相同凭证与令牌）从未失败，即便MailKit版本报错时也能正常运行
• 测试过.NET 4.8.1、6、8多个版本，MailKit的问题始终存在，Chilkat版本全版本正常运行
• 希望保留免费的MailKit工具，寻求解决思路

复现代码 #

static async System.Threading.Tasks.Task Main(string[] args)
{
   string from = $"sample@gmail.com";
   string path = @"ClientCredentials.json";
   string[] scopes = new[] { "https://mail.google.com/" };
   string accessToken = @"";

   try
   {
      var credential = await GoogleWebAuthorizationBroker.AuthorizeAsync(
          GoogleClientSecrets.FromFile(path).Secrets,
          scopes,
          mailbox,
          CancellationToken.None,
          new FileDataStore(Directory.GetCurrentDirectory(), true));

      using (var client = new SmtpClient())
      {
         client.Connect("smtp.gmail.com", 465, true);

         var oauth2 = new SaslMechanismOAuth2(from, credential.Token.AccessToken);
         accessToken = credential.Token.AccessToken;
         await client.AuthenticateAsync(oauth2);

         if (!client.IsAuthenticated)
         {
            // Refresh the access token
            if (credential.Token.IsStale)
            {
               await credential.RefreshTokenAsync(CancellationToken.None);
               accessToken = credential.Token.AccessToken;

               oauth2 = new SaslMechanismOAuth2(from, accessToken);
               await client.AuthenticateAsync(oauth2);
            }
         }
         client.Disconnect(true);
      }
   }
   catch (Exception ex)
   {
      Console.WriteLine($"An error occurred: {ex.Message}\n{ex.StackTrace}");
   }
}

解决思路与建议 #

1. 优化令牌刷新时机 #

当前代码仅在认证失败后才检查令牌是否过期，随机失败可能是令牌在请求过程中刚好失效。建议在认证前主动检查并刷新令牌：

// 在创建SaslMechanismOAuth2之前添加
if (credential.Token.IsStale)
{
    await credential.RefreshTokenAsync(CancellationToken.None);
}

2. 调整OAuth2认证参数 #

尝试使用Google返回的credential.UserId替代邮箱地址作为SaslMechanismOAuth2的第一个参数，确保用户ID与Google端记录一致：

var oauth2 = new SaslMechanismOAuth2(credential.UserId, credential.Token.AccessToken);

3. 添加有限次数的重试机制 #

针对随机网络波动或Google服务器临时异常，添加重试逻辑（建议最多3次）：

using (var client = new SmtpClient())
{
    client.Connect("smtp.gmail.com", 465, true);
    int retryCount = 3;
    bool isAuthenticated = false;

    while (retryCount > 0 && !isAuthenticated)
    {
        try
        {
            if (credential.Token.IsStale)
            {
                await credential.RefreshTokenAsync(CancellationToken.None);
            }
            var oauth2 = new SaslMechanismOAuth2(from, credential.Token.AccessToken);
            await client.AuthenticateAsync(oauth2);
            isAuthenticated = client.IsAuthenticated;
        }
        catch
        {
            retryCount--;
            await Task.Delay(1000); // 延迟1秒后重试
        }
    }

    if (!isAuthenticated)
    {
        // 处理最终认证失败逻辑
    }
    client.Disconnect(true);
}

4. 启用MailKit调试日志排查细节 #

开启SMTP协议日志，记录认证过程中的交互细节，定位失败时的具体响应：

using (var client = new SmtpClient())
{
    // 禁用其他认证机制，确保仅使用OAuth2
    client.AuthenticationMechanisms.Remove("PLAIN");
    client.AuthenticationMechanisms.Remove("LOGIN");
    // 写入日志到文件
    client.Logger = new ProtocolLogger("smtp_auth_log.txt");
    
    client.Connect("smtp.gmail.com", 465, true);
    // ... 后续认证逻辑
}

5. 验证令牌有效性 #

在认证前调用Google令牌验证接口，确认当前令牌在认证时是有效的：

using (var httpClient = new HttpClient())
{
    var response = await httpClient.GetAsync($"https://www.googleapis.com/oauth2/v3/tokeninfo?access_token={credential.Token.AccessToken}");
    if (!response.IsSuccessStatusCode)
    {
        // 令牌无效，提前刷新
        await credential.RefreshTokenAsync(CancellationToken.None);
    }
}

内容的提问来源于stack exchange，提问作者BenevolentDeity