使用客户端凭据流实现Microsoft Exchange SMTP AUTH失败排查

问题场景 #

已通过IMAP协议+客户端凭据流成功访问邮箱，但尝试通过SMTP发送邮件时触发认证失败异常：

535 5.7.3 Authentication unsuccessful [PN2PR01CA0190.INDPRD01.PROD.OUTLOOK.COM 2023-04-10T11:36:49.717Z 08DB38497E3FD62E]

    at com.sun.mail.smtp.SMTPTransport$Authenticator.authenticate(SMTPTransport.java:947)
    at com.sun.mail.smtp.SMTPTransport.authenticate(SMTPTransport.java:858)
    at com.sun.mail.smtp.SMTPTransport.protocolConnect(SMTPTransport.java:762)
    at jakarta.mail.Service.connect(Service.java:364)
    at jakarta.mail.Service.connect(Service.java:222)
    at jakarta.mail.Service.connect(Service.java:171)

已完成的配置：

• Azure应用注册中添加了SMTP.SendAsApp应用权限并获得全局管理员授权
• 通过PowerShell为应用服务主体授予了目标邮箱的FullAccess权限

核心疑问：此前有资料提及SMTP+客户端凭据流不被支持，但当前查阅官方文档未找到明确表述，不确定是配置错误还是该组合仍不兼容。

结论与解决方案 #

核心原因 #

SMTP AUTH 协议目前不支持客户端凭据流，微软的SMTP服务端并未实现对该OAuth2认证流的适配，即便配置了对应权限，也无法完成认证。早期官方文档曾明确说明这一限制，虽部分文档内容可能更新，但该功能限制仍未解除。

替代方案 #

1. 切换至Microsoft Graph API发送邮件
   使用Graph API的/sendMail端点，客户端凭据流完全支持该方式。需在Azure应用中添加Mail.Send应用权限并获取管理员授权，通过调用API即可实现无用户交互的邮件发送。

2. 更换SMTP认证方式
   若必须使用SMTP协议，只能切换至其他支持的认证方式：

   • 授权码流（Authorization Code Flow）：需用户手动完成授权交互，适合有前端交互的场景
   • 用户名密码认证：不推荐，存在账号泄露风险，且微软对该方式的支持逐步收紧

内容的提问来源于stack exchange，提问作者Amogh