Webklex\PHPIMAP连接Office365时Modern Auth认证失败求助

微软正在停用Basic Authentication（基本认证），我们需使用Modern Auth（现代认证）从Office365邮箱收取邮件，但获取访问令牌时失败，报错如下：

Client error: `POST https://login.microsoftonline.com/aea9a7d8-73fb-41af-987b-6fe14277421e/oauth2/v2.0/token` resulted in a `400 Bad Request` response:
    {"error":"unauthorized_client","error_description":"AADSTS700016: Application with identifier '\"014438b9-82dc-4a4c-9584 (truncated...)

以下是获取令牌并连接IMAP的代码（username和password已传入真实邮箱及密码）：

/* Get the access Token */
$Secret = '**REMOVED**';
$AppID = '**REMOVED**';
$TenantID = '**REMOVED**';
$AccessToken = '';
try {
    $guzzle = new \GuzzleHttp\Client(['headers' => ['User-Agent' => 'App-Token-Request']]);
    $url = 'https://login.microsoftonline.com/'.$TenantID.'/oauth2/v2.0/token';
    $token = json_decode($guzzle->post($url, [
    'form_params' => [
        'grant_type'    => 'password', 
        'client_id'     => $AppID,
        'client_secret' => $Secret,
        'scope'         => 'https://graph.microsoft.com/.default', //'https://outlook.office365.com/IMAP.AccessAsUser.All',// 'https://graph.microsoft.com/.default',
        'username'      => '**REMOVED**',
        'password'      => '**REMOVED**',
    ], 
    ])->getBody()->getContents());
            
    $this->info(var_dump($token));
    $AccessToken = $token->access_token;

} catch (\League\OAuth2\Client\Provider\Exception\IdentityProviderException $e) {
    dd($e);
    return redirect('/')->with('error', 'Error requesting access token')->with('errorDetail', json_encode($e->getResponseBody()));
}

错误原因分析 #

AADSTS700016错误本质是应用程序身份无法被Azure AD识别或授权，结合代码和场景，具体原因包括：

• 应用程序ID（Client ID）无效：错误日志中AppID带有多余的转义引号，可能是代码中$AppID变量存在格式错误。
• 应用未启用ROPC流支持：代码使用的password授权类型（ROPC流）需要应用注册开启公共客户端流权限。
• 权限配置错误：当前使用的https://graph.microsoft.com/.default scope与IMAP访问需求不匹配，且可能未正确授予委派权限。
• ROPC流本身的限制：该流不支持启用MFA的用户，仅支持Azure AD成员账号，且租户需允许密码验证方式。

解决办法 #

1. 校验并修正AppID #

• 检查代码中$AppID变量，移除多余的引号、转义字符，确保是纯净的应用程序ID。
• 登录Azure门户，进入对应应用注册页面，复制正确的「应用程序（客户端）ID」替换到代码中。

2. 启用应用的公共客户端流 #

• 在Azure AD应用注册页面，切换到「身份验证」标签，滚动到「高级设置」区域。
• 将「允许公共客户端流」设置为「是」，保存更改。

3. 配置正确的IMAP权限 #

• 在应用注册的「API权限」页面，点击「添加权限」，搜索「Office 365 Exchange Online」。
• 选择「委派权限」，找到并添加「IMAP.AccessAsUser.All」权限。
• 点击「授予管理员同意」（需全局管理员权限），确保权限生效。
• 将代码中的scope修改为：'https://outlook.office365.com/IMAP.AccessAsUser.All'

4. 规避ROPC流限制（或替换为推荐的认证流） #

• 如果目标邮箱账号启用了MFA，必须放弃ROPC流，改用授权码流（Authorization Code Flow），这是微软推荐的安全认证方式。
• 确认使用的账号是Azure AD成员账号，而非外部/来宾账号。
• 检查租户的「身份验证方法策略」，确保允许使用密码作为身份验证方法。

内容的提问来源于stack exchange，提问作者Deepanshu biyani