配置Windows桌面应用通过Office 365发邮件遇SMTP AUTH禁用问题

我们有一款桌面应用，负责代用户发送发票、收据这类邮件。之前用基本SMTP认证，现在要加OAuth 2.0支持来适配Exchange 365 Online等服务。应用需要对接任意用户的Exchange 365服务器，给多个客户发送带附件的邮件，首次配置需要确保设置正确。

已完成的操作：

• 在企业Azure AD注册应用，分配了Mail.Send等权限
• 用Microsoft Identity Client库完成认证：能弹出登录提示、完成登录和手机Authenticator验证，成功获取token。这里有个疑问：要对接任意Office 365组织/域名，是不是应该用"common"作为TenantID？
  认证代码：

  Dim Options As New PublicClientApplicationOptions
  Options.ClientId = pClientID
  Options.TenantId = pTenantID
  Options.RedirectUri = "https://login.microsoftonline.com/common/oauth2/nativeclient"
  
  Dim publicClientApplication As IPublicClientApplication = PublicClientApplicationBuilder.CreateWithApplicationOptions(Options).Build
  
  Dim scopes() As String = {
      "email",
      "offline_access",
      "https://outlook.office.com/Mail.Send"
  }
  
  Try
      Dim CM_EmailServerSetting As ICM_EmailServerSetting = CCM_EmailServerSettingServices.GetEmailServerSettingForApplication()
      Dim authToken As AuthenticationResult = Await publicClientApplication.AcquireTokenInteractive(scopes).WithParentActivityOrWindow(Me).WithLoginHint(CM_EmailServerSetting.EmailAddress).ExecuteAsync()
  

• 通过SMTP协议连接服务器并使用OAuth2对象：
  SMTP代码：

  Dim oauth2 As MailKit.Security.SaslMechanism
  Dim EmailClient As New Net.Smtp.SmtpClient()
  EmailClient.Connect(CM_EmailServerSetting.SMTPServerAddress, CM_EmailServerSetting.Port)
  
      If (EmailClient.AuthenticationMechanisms.Contains("OAUTHBEARER")) Then
          oauth2 = New MailKit.Security.SaslMechanismOAuthBearer(authToken.Account.Username, authToken.AccessToken)
      Else
          oauth2 = New MailKit.Security.SaslMechanismOAuth2(authToken.Account.Username, authToken.AccessToken)
      End If
  
      Await EmailClient.AuthenticateAsync(oauth2)
  

问题：调用AuthenticateAsync时抛出异常，提示“租户SMTP AUTH已禁用”。我们用的是OAuth2协议，想问下遗漏了哪些配置？是不是要在Azure加其他权限？

解决方法 #

关于TenantID的疑问 #

要对接任意Office365组织/域名，确实应该将TenantId设置为"common"，这样既支持个人微软账号，也支持任意企业Azure AD账号登录。

核心问题：SMTP AUTH开关必须开启 #

OAuth2只是认证方式，Exchange Online的SMTP服务本身的SMTP AUTH功能必须开启，否则哪怕用OAuth2也无法通过认证，具体操作如下：

1. 开启租户级SMTP AUTH
   租户管理员需要通过Exchange Online PowerShell执行命令：

   Set-TransportConfig -SmtpClientAuthenticationDisabled $false
   

   该命令允许整个租户的SMTP客户端认证（包含OAuth2方式）。

2. 确保用户级SMTP AUTH未被禁用
   部分租户可能全局开启了SMTP AUTH，但个别用户被单独禁用，需要检查并开启目标用户的权限：

   Set-CASMailbox -Identity "user@domain.com" -SmtpClientAuthenticationDisabled $false
   

Azure AD权限确认 #

你已添加的Mail.Send权限完全满足SMTP OAuth2认证需求。如果是委托权限（Delegated Permissions），需确保用户已完成权限同意；桌面应用用委托权限即可，你的代码中AcquireTokenInteractive属于委托权限流程，无需额外添加其他Azure权限。

SMTP服务器配置检查 #

Exchange Online的标准SMTP服务器地址为smtp.office365.com，端口用587（TLS加密），需确保CM_EmailServerSetting中的地址和端口正确。连接时建议显式启用TLS：

EmailClient.Connect(CM_EmailServerSetting.SMTPServerAddress, CM_EmailServerSetting.Port, True)

代码优化建议 #

Exchange Online原生支持OAUTHBEARER机制，可简化判断逻辑，直接使用SaslMechanismOAuthBearer，不过你现有判断逻辑也能正常工作。

内容的提问来源于stack exchange，提问作者Mark