多租户应用Office365 SMTP OAuth2跨租户认证失败求助

架构老林

2026-7-6

Office365 SMTP OAuth2 跨租户认证失败排查方案

针对未验证多租户应用在外部租户SMTP认证失败（本租户正常，外部租户能获取令牌但发送报错535 5.7.3 Authentication unsuccessful）的问题，可按以下方向排查：

1. 未验证应用的跨租户权限限制

微软对未完成验证的多租户应用，外部租户用户授权后，邮件类敏感权限会处于受限状态——即使能拿到令牌，实际调用SMTP服务时权限不生效。

解决方向：要么完成微软应用验证流程（提交隐私声明、服务条款等），要么让外部租户管理员手动为应用授予权限。

2. 权限类型与令牌作用域匹配

确认应用注册中添加的是Delegated权限（SMTP OAuth2仅支持此模式，不支持Application权限）；
用令牌解析工具检查访问令牌的scp声明，确保包含SMTP.Send和IMAP.AccessAsUser.All，验证令牌作用域与申请权限一致。

3. 外部租户的权限同意层级

普通用户的“用户级同意”无法生效于邮件类敏感权限，必须由外部租户管理员完成租户级权限同意：

让外部租户管理员登录Azure AD管理中心，找到你的应用并授予对应的邮件权限；或者通过管理员同意流程完成授权。

4. MailKit配置与认证逻辑检查

确认SMTP连接参数：服务器smtp.office365.com，端口587，启用STARTTLS；
检查MailKit的OAuth2认证代码，确保正确传入用户邮箱和有效访问令牌，示例代码：

using (var client = new SmtpClient())
{
    client.Connect("smtp.office365.com", 587, SecureSocketOptions.StartTls);
    client.Authenticate(new SaslMechanismOAuth2(userEmail, accessToken));
    // 执行邮件发送逻辑
    client.Disconnect(true);
}