使用Nodemailer通过Gmail OAuth2发邮件时出现invalid_grant错误求助

碰到这个问题我太有共鸣了——之前维护的几个邮件服务也栽过Gmail OAuth2的坑，尤其是invalid_grant: Bad Request这个报错，看似是刷新令牌的问题，但背后可能藏着好几层原因，咱们一步步拆解排查：

1. 先确认刷新令牌的有效性 #

你之前更新过刷新令牌但又出问题，得注意这几个点：

• Gmail的刷新令牌不是永久有效：如果你的Google账号有安全变更（比如改密码、开启/关闭两步验证、手动撤销过应用权限），或者应用超过6个月没使用，刷新令牌会被自动吊销。
• 别把授权码当刷新令牌用：授权码（authorization code）只能用一次，用来兑换刷新令牌，要是不小心重复用授权码，直接就会触发这个错误。

2. 检查Google Cloud Console的OAuth2配置细节 #

• 确认应用类型：一定要选桌面应用/其他，别选Web应用——Gmail对Web应用的刷新令牌有效期限制更严，而桌面应用类型的刷新令牌默认有效期更长（只要不触发安全变更）。
• 权限范围（Scopes）要正确：必须包含https://mail.google.com/或者至少https://www.googleapis.com/auth/gmail.send，权限不够会直接导致令牌失效。
• 测试模式的坑：如果你的OAuth consent screen还在测试模式，测试用户的令牌有效期只有7天，到期就会失效。要么把应用发布为正式版，要么定期更新测试用户的令牌。

3. 排查代码里的令牌处理逻辑 #

• 记得更新刷新令牌：有些情况下，Google在刷新访问令牌时会返回新的刷新令牌，要是你没替换本地存储的旧令牌，时间久了就会失效。
• 别频繁请求令牌：Google OAuth2有请求频率限制，短时间内多次刷新令牌会被判定为异常，触发invalid_grant。建议加个缓存机制，不用每次发邮件都去刷新令牌。

4. 特殊情况：Google安全策略变更 #

最近Google对OAuth2权限管控更严了，要是你的应用是新创建的，得注意：

• 企业G Suite账号：可能需要管理员允许你的应用访问邮箱权限，有些企业会默认限制第三方应用的OAuth2访问。
• 两步验证账号的临时方案：可以用App Passwords替代OAuth2——登录Google账号后，进入「安全→两步验证→App Passwords」，创建一个邮件专用的密码，然后在Nodemailer里直接用邮箱+这个密码登录：

const transporter = nodemailer.createTransport({
  service: 'gmail',
  auth: {
    user: 'your-email@gmail.com',
    pass: 'your-app-password'
  }
});

总结下来，最常见的原因还是刷新令牌被吊销或者配置细节没到位，先从检查令牌有效期和Cloud Console的配置入手，大概率能解决问题。

内容的提问来源于stack exchange，提问作者swapnil shah