PHP中使用OAuth2认证Outlook Office365 POP应用失败排查

我正在按照微软官方指南操作，尝试通过OAuth2认证POP服务器连接时，即使使用了有效的access_token，仍收到错误：-ERR Authentication failure: unknown user name or bad password.

操作流程如下：

• 在Azure上为应用授予POP.AccessAsUser.All权限；
• 使用offline_access https://outlook.office.com/POP.AccessAsUser.All范围引导用户登录Microsoft并获取refresh_token；
• 通过refresh_token请求带有https://outlook.office.com/POP.AccessAsUser.All范围的有效access_token；
• 使用access_token和邮箱地址生成XOAUTH2字符串：

$XOAUTH2base64 = base64_encode("user=" .$this->username . "^Aauth=Bearer " . $this->token . "^A^A");

客户端与服务器交互详情：

S: +OK The Microsoft Exchange POP3 service is ready. [...==]
C: AUTH XOAUTH2
S: +
C: {此处输入我的XOAUTH2base64} 
S: -ERR Authentication failure: unknown user name or bad password.

请问我哪里操作有误？

可能的错误点及排查步骤 #

1. 用户名格式错误 #

POP OAuth2认证要求必须使用完整的邮箱地址（如user@contoso.com），而非仅用户名（如user）。确认你传入的$this->username是完整的邮箱字符串。

2. XOAUTH2字符串中的控制字符错误 #

代码中的^A必须是ASCII控制字符SOH（十进制值1），而非字面的^A字符串。很多开发者会错误地直接写入^A，但服务器无法识别这种字符。

在PHP中，你可以用chr(1)来表示这个字符，修正后的代码应该是：

$soh = chr(1);
$XOAUTH2base64 = base64_encode("user=" . $this->username . $soh . "auth=Bearer " . $this->token . $soh . $soh);

3. Access Token的受众（Audience）不正确 #

解析你的access_token，检查aud字段是否为https://outlook.office.com。如果受众不符，服务器会拒绝认证请求。

这种情况通常是请求token时的范围参数有误，确保获取token时的范围是https://outlook.office.com/POP.AccessAsUser.All，不要遗漏域名前缀。

4. 应用权限配置问题 #

• 确认POP.AccessAsUser.All是委托权限（而非应用权限），因为POP认证需要用户上下文，应用权限不支持POP/IMAP的OAuth2认证。
• 确保用户已经通过交互式流程完成了授权（即用户实际登录并同意了应用的权限请求），仅在Azure后台添加权限而未经过用户授权会导致token无效。

5. 用户邮箱未启用POP协议 #

检查目标用户邮箱是否开启了POP访问权限：

• 登录Exchange管理中心，进入收件人>邮箱>选择用户>邮箱功能>POP3，确认状态为启用。
• 或者使用PowerShell命令：

Set-CASMailbox -Identity user@contoso.com -PopEnabled $true

内容的提问来源于stack exchange，提问作者Lary Ciminera