使用PHPMailer通过XOAUTH2认证Gmail SMTP失败问题求助

问题核心 #

使用PHPMailer通过XOAUTH2连接smtp.gmail.com时，提交用户名+Access Token却触发**“用户名和密码无效”**的认证错误；仅配置全权限https://mail.google.com/作用域可正常运行，所有受限作用域（如https://www.googleapis.com/auth/gmail.send）完全失效，违反ISO27001最小权限要求。

原因分析 #

Gmail SMTP服务的XOAUTH2认证逻辑与Gmail API HTTP接口不同：SMTP协议需要完整的邮件账户访问权限来处理投递流程，官方明确要求该场景必须使用https://mail.google.com/作用域，并非服务bug。而错误提示“用户名和密码无效”是SMTP服务器复用传统认证的错误信息，未区分权限不足的实际问题，导致误导。

符合最小权限的替代方案 #

放弃SMTP方式，改用Gmail API的users.messages.send接口发送邮件，该接口支持https://www.googleapis.com/auth/gmail.send受限作用域，完全满足ISO27001要求。

示例代码：

require 'vendor/autoload.php';

// 初始化Google客户端
$client = new Google\Client();
$client->setClientId('YOUR_CLIENT_ID');
$client->setClientSecret('YOUR_CLIENT_SECRET');
$client->setRefreshToken('YOUR_REFRESH_TOKEN');
$client->addScope('https://www.googleapis.com/auth/gmail.send');
$client->fetchAccessTokenWithRefreshToken($client->getRefreshToken());

// 调用Gmail API发送邮件
$gmail = new Google\Service\Gmail($client);
$message = new Google\Service\Gmail\Message();

// 构造邮件原始内容并编码
$rawMessage = "From: Sender <your-email@gmail.com>\r\n";
$rawMessage .= "To: Recipient <target-email@example.com>\r\n";
$rawMessage .= "Subject: 测试邮件\r\n\r\n";
$rawMessage .= "这是通过Gmail API发送的测试邮件";
$raw = rtrim(strtr(base64_encode($rawMessage), '+/', '-_'), '=');
$message->setRaw($raw);

try {
    $gmail->users_messages->send('me', $message);
    echo '邮件发送成功';
} catch (Exception $e) {
    echo "发送失败：" . $e->getMessage();
}

补充说明 #

若必须使用SMTP协议，目前无法规避https://mail.google.com/作用域要求，建议通过限制OAuth客户端的访问范围、启用IP白名单等方式降低权限风险，尽量贴合最小权限原则。

内容的提问来源于stack exchange，提问作者muz the axe