第三方邮件客户端：Outlook.com账户SMTP+OAUTH2外部用户认证问题求助

针对你遇到的「仅租户内Office365用户可通过XOAUTH2认证SMTP，外部用户失败」的问题，以下是具体排查点和修复方案：

1. 修正AzureAD应用的账户类型 #

你的应用注册大概率设置为「仅当前租户账户」，导致外部用户（其他租户或个人微软账户）无法发起授权。

• 操作：Azure Portal → 找到你的应用注册 → 「概述」页面 → 点击「管理」下的「身份验证」→ 修改「支持的账户类型」为「任何组织目录中的账户（任何Azure AD目录 - 多租户）和个人Microsoft账户（例如Skype、Xbox）」→ 保存。

2. 调整OAuth2权限范围 #

外部用户（尤其是个人Outlook账户）需要适配通用的SMTP权限范围，避免使用租户限定的scope：

• 授权请求中必须包含 https://outlook.office365.com/SMTP.Send 或 https://graph.microsoft.com/SMTP.Send（后者兼容个人和企业账户）
• 检查你的授权URL的scope参数，确保没有只指定租户内的私有范围。

3. 验证Access Token的受众字段 #

用本地JWT解码工具（比如手动解析或本地离线工具）检查access-token的aud字段：

• 正常情况下，SMTP服务的受众应为https://outlook.office365.com或https://graph.microsoft.com；如果aud是你的租户ID，说明scope请求错误，外部用户无法识别该受众，导致认证失败。
• 若aud不符合，调整scope后重新获取token。

4. 检查Jakarta Mail的XOAUTH2配置细节 #

确保Jakarta Mail的SMTP连接配置正确适配多租户场景：

Properties props = new Properties();
props.put("mail.smtp.auth", "true");
props.put("mail.smtp.starttls.enable", "true");
props.put("mail.smtp.host", "smtp.office365.com");
props.put("mail.smtp.port", "587");
props.put("mail.smtp.auth.mechanisms", "XOAUTH2");
props.put("mail.smtp.auth.xoauth2.disable", "false");

// 构造XOAUTH2认证字符串
String oauth2Token = "user=" + userEmail + "\1auth=Bearer " + accessToken + "\1\1";
Session session = Session.getInstance(props, new Authenticator() {
    @Override
    protected PasswordAuthentication getPasswordAuthentication() {
        return new PasswordAuthentication(userEmail, oauth2Token);
    }
});

• 注意token格式必须严格遵循 user=邮箱\1auth=Bearer 令牌\1\1，不能有多余空格或换行。
• 确保使用Jakarta Mail 2.0及以上版本，旧版本对多租户XOAUTH2的支持存在缺陷。

5. 适配外部用户的授权重定向URI #

如果你的客户端是桌面/移动应用，需确保AzureAD应用注册中配置了公共客户端类型的重定向URI：

• 操作：Azure Portal → 应用注册 → 「管理」→ 「身份验证」→ 「添加平台」→ 选择「移动和桌面应用」→ 勾选系统推荐的重定向URI（如msal{ClientID}://auth）→ 保存。

内容的提问来源于stack exchange，提问作者ahmed_mah99