如何实现类似Mailchimp的代发邮件功能？Nodemailer方案探讨

1. Mailchimp无需密码仅靠确认邮件代发的原理 #

• OAuth2授权机制：用户点击确认邮件时，实际完成了OAuth2授权流程——Mailchimp引导用户跳转到邮箱服务商（如Gmail）的授权页面，用户同意后，Mailchimp获得授权令牌（Access Token）和刷新令牌（Refresh Token），后续用这些令牌代替密码调用邮件服务商的SMTP/API发送邮件，无需存储用户密码。
• 发件人身份校验配置：Mailchimp会要求用户配置域名的SPF和DKIM记录，证明代发服务被域名所有者授权，这样邮件服务商才会认可from字段的合法性，避免被标记为垃圾邮件。
• 发件人验证：确认邮件同时用来验证用户对目标邮箱的所有权，确保代发请求合法，防止滥用。

2. 用Nodemailer复现该效果的方案 #

完全可以实现，核心是替换原有的密码认证为OAuth2认证，并完成发件人身份配置，步骤如下：

第一步：配置OAuth2授权（以Gmail为例） #

1. 在对应邮箱服务商的开发者平台（如Google Cloud Console）创建应用，获取clientId、clientSecret。
2. 引导用户完成授权流程：跳转到服务商的授权页面，用户同意后，获取refreshToken（该令牌可长期用来刷新accessToken）。

第二步：修改Nodemailer代码使用OAuth2认证 #

替换原有的密码认证逻辑，用OAuth2配置传输器，同时确保from字段是用户授权的邮箱：

const nodemailer = require('nodemailer');

// 用OAuth2创建传输器
const transporter = nodemailer.createTransport({
  service: 'gmail',
  auth: {
    type: 'OAuth2',
    user: 'test2@gmail.com', // 用户授权的发件邮箱
    clientId: 'YOUR_GOOGLE_CLIENT_ID',
    clientSecret: 'YOUR_GOOGLE_CLIENT_SECRET',
    refreshToken: 'USER_REFRESH_TOKEN',
    accessToken: 'USER_ACCESS_TOKEN' // 可通过refreshToken自动刷新
  }
});

const mailOptions = {
  from: 'test2@gmail.com', // 现在可以正常显示这个发件人了
  to: 'recipient@gmail.com',
  subject: 'Sending Email via OAuth2',
  text: 'This email is sent using OAuth2 authorization!'
};

transporter.sendMail(mailOptions, (error, info) => {
  if (error) {
    console.log(error);
  } else {
    console.log('Email sent: ' + info.response);
  }
});

第三步：配置SPF/DKIM记录 #

在用户域名的DNS管理后台添加SPF记录（包含你的代发服务IP或域名）和DKIM密钥，确保邮件服务商认可发件人身份，避免邮件进入垃圾箱。

你之前的代码失败原因：用test@gmail.com的密码认证，却尝试用test2@gmail.com作为发件人，SMTP服务器会校验发件人与认证用户是否一致，这种无授权的跨邮箱代发会被直接拒绝。

3. 替代方案（若Nodemailer不满足需求） #

如果觉得Nodemailer的OAuth2配置繁琐，可以直接使用以下方案：

• 邮箱服务商官方API：比如Gmail API，直接调用官方发送接口，基于OAuth2授权，无需配置SMTP。
• 第三方邮件服务API：如SendGrid、Mailgun等，用户只需在平台验证自己的域名或邮箱，生成API密钥，你用密钥调用接口发送邮件，无需处理复杂的OAuth2流程，且平台会自动配置SPF/DKIM。

内容的提问来源于stack exchange，提问作者Pavel Halko