Microsoft OAuth 2.0令牌请求失败与邮件认证问题排查求助

一、client_credentials模式下的token_url修正 #

你当前使用的token_url格式https://login.microsoftonline.com/<tenant_id>/oauth2/v2.0/token对于国际版Microsoft Azure AD的client_credentials模式是正确的，无需修改域名/子域名。若出现Bad Request错误，大概率不是域名问题，而是请求参数错误：

• 必须确保grant_type严格设为client_credentials
• scope需使用应用权限格式，例如针对Outlook邮件的https://outlook.office365.com/.default（注意.default后缀，这是client_credentials模式的必填格式）
• 若你的租户属于中国版Azure，需将域名替换为login.partner.microsoftonline.cn

二、OAuth 2.0核心流程（针对你用到的两种模式） #

1. 客户端凭证模式（client_credentials） #

无用户参与的后台服务认证流程：

• 应用直接向token_url发送请求，携带client_id、client_secret、grant_type=client_credentials、scope参数
• 认证服务器验证凭证无误后，返回应用级别的access_token
• 应用使用该token调用API（如发送邮件），权限基于应用自身在AD中配置的权限

2. 刷新令牌模式（refresh_token） #

基于用户授权的会话维持流程：

• 先通过授权码模式获取用户的access_token和refresh_token
• 当access_token过期时，应用向token_url发送请求，携带refresh_token、grant_type=refresh_token、client_id、client_secret
• 认证服务器验证后返回新的access_token，维持用户级别的会话权限

3. 授权码模式（基础流程） #

refresh_token模式的前置流程：

• 应用引导用户跳转到auth_url进行授权
• 用户同意后，应用获取授权码
• 用授权码向token_url换取access_token和refresh_token

三、当前错误的核心原因 #

切换到client_credentials后出现的5.7.57 Client not authenticated to send mail错误，核心原因如下：

1. 应用权限未配置或未授权：
   client_credentials模式使用的是应用级权限，而非用户级委托权限。你需要在Azure AD应用注册中添加Mail.Send应用权限，并由租户管理员完成管理员同意（应用权限必须由管理员审批，无法由普通用户同意）。
2. Scope参数错误：
   若仍使用refresh_token模式的scope（例如https://outlook.office365.com/Mail.Send），会导致权限验证失败，必须改为https://outlook.office365.com/.default。
3. 权限范围不匹配：
   若配置的应用权限仅允许发送特定邮箱，而当前使用的发件邮箱不在允许列表内，也会触发认证失败。

错误日志回顾 #

(530, b'5.7.57 Client not authenticated to send mail. Error: 535 5.7.3 Authentication unsuccessful [ZR2P278CA0041.CHEP278.PROD.OUTLOOK.COM 2023-02-14T08:10:26.343Z 08DB0DEF6EA5D39B]', 'myemail@myemail.com')
2023-02-14 11:10:26,378 INFO [decorators] [send_email] StatusMessage: An error occurred while sending the email: (530, b'5.7.57 Client not authenticated to send mail. Error: 535 5.7.3 Authentication unsuccessful [ZR2P278CA0041.CHEP278.PROD.OUTLOOK.COM 2023-02-14T08:10:26.343Z 08DB0DEF6EA5D39B]', 'myemail@myemail.com')
2023-02-14 11:10:26,379 INFO [decorators] [send_email] StatusMessage: Done with sending email...

内容的提问来源于stack exchange，提问作者ardaozmen