Laravel配置Google SMTP后谷歌账户遭滥用发送垃圾邮件求助

核心原因 #

你的Gmail账户凭据（密码或应用专用密码）已泄露，被第三方恶意利用发送垃圾邮件，触发了Gmail的每日发送配额限制，这类情况不少开发者都遇到过。

紧急处理步骤 #

• 立即修改Gmail账户主密码，同时在Google账户「安全性」-「已拥有访问权限的第三方应用」页面，禁用所有未授权的应用和设备。
• 若之前使用「应用专用密码」，直接删除该密码，停止使用这类明文凭据。
• 清理Gmail已发送文件夹中的垃圾邮件，避免账户被进一步标记为垃圾邮件源。

Laravel项目加固措施 #

• 替换为专业邮件发送服务：放弃个人Gmail，改用SendGrid、Mailgun、Postmark这类专业服务商，它们配额更灵活，反滥用机制更完善，更适配生产环境自动化邮件需求。
• 用Google OAuth 2.0替代密码认证：如果坚持使用Gmail，不要在.env中明文存储密码，改用OAuth 2.0认证：
  1. 在Google Cloud Console创建项目并启用Gmail API。
  2. 创建OAuth客户端ID，配置合法的授权回调地址。
  3. 在Laravel中配置OAuth凭据，获取刷新令牌，实现无密码的SMTP认证。
• 限制邮件触发逻辑：
  • 给密码重置、通知类邮件添加频率限制，比如同一邮箱1小时内最多发送2次重置请求，用Laravel的throttle中间件实现。
  • 验证请求合法性：密码重置请求仅允许已注册邮箱发起，且必须携带有效CSRF令牌。
• 加密敏感配置：用php artisan env:encrypt加密.env文件，部署时仅保留解密密钥，避免明文暴露SMTP凭据。
• 监控邮件日志：配置Laravel邮件日志，或利用服务商后台监控发送量、收件地址，异常情况第一时间排查。

长期预防 #

• 定期检查Google账户的登录记录和授权应用，发现陌生设备/应用立即移除。
• 确保.gitignore包含.env相关文件，绝不将敏感配置提交到代码仓库。
• 遵循最小权限原则：给邮件发送账户仅配置SMTP必要权限，避免使用拥有完整Google账户权限的凭据。

内容的提问来源于stack exchange，提问作者Bilguun Erdenebaatar