Java通过OAUTH2访问Outlook.Office365.com IMAP时认证失败如何解决？

微软已宣布即将停用Outlook IMAP邮箱的Basic认证，我尝试在Java中通过OAuth2协议访问IMAP邮箱，但始终收到错误码"A1 NO AUTHENTICATE failed"。

具体操作步骤 #

生成OAuth2访问令牌的代码 #

public String getAuthToken(String tanantId,String clientId,String client_secret) throws ClientProtocolException, IOException {
    CloseableHttpClient client = HttpClients.createDefault();
    HttpPost loginPost = new HttpPost("https://login.microsoftonline.com/" + tanantId + "/oauth2/v2.0/token");
    String scopes = "https://outlook.office365.com/.default";
    String encodedBody = "client_id=" + clientId + "&scope=" + scopes + "&client_secret=" + client_secret
            + "&grant_type=client_credentials";
    loginPost.setEntity(new StringEntity(encodedBody, ContentType.APPLICATION_FORM_URLENCODED));
    loginPost.addHeader(new BasicHeader("cache-control", "no-cache"));
    CloseableHttpResponse loginResponse = client.execute(loginPost);
    InputStream inputStream = loginResponse.getEntity().getContent();
    byte[] response = readAllBytes(inputStream);
    ObjectMapper objectMapper = new ObjectMapper();
    JavaType type = objectMapper.constructType(
            objectMapper.getTypeFactory().constructParametricType(Map.class, String.class, String.class));
    Map<String, String> parsed = new ObjectMapper().readValue(response, type);
    return parsed.get("access_token");
}

生成的令牌可通过jwt.ms解码，看似有效，但不含scp或roles属性。

使用令牌访问IMAP的代码 #

Properties props = new Properties();

props.put("mail.store.protocol", "imap");
props.put("mail.imap.host", "outlook.office365.com");
props.put("mail.imap.port", "993");
props.put("mail.imap.ssl.enable", "true");
props.put("mail.imap.starttls.enable", "true");
props.put("mail.imap.auth", "true");
props.put("mail.imap.auth.mechanisms", "XOAUTH2");
props.put("mail.imap.user", mailAddress);
props.put("mail.debug", "true");
props.put("mail.debug.auth", "true");

// open mailbox....
String token = getAuthToken(tanantId,clientId,client_secret);
Session session = Session.getInstance(props);
session.setDebug(true);
Store store = session.getStore("imap");
store.connect("outlook.office365.com", mailAddress, token);

抛出的错误日志 #

* OK The Microsoft Exchange IMAP4 service is ready. [...............AA==]
A0 CAPABILITY
* CAPABILITY IMAP4 IMAP4rev1 AUTH=PLAIN AUTH=XOAUTH2 SASL-IR UIDPLUS MOVE ID UNSELECT CHILDREN IDLE NAMESPACE LITERAL+
A0 OK CAPABILITY completed.
DEBUG IMAP: AUTH: PLAIN
DEBUG IMAP: AUTH: XOAUTH2
DEBUG IMAP: protocolConnect login, host=outlook.office365.com, user=xxx@yyy.com, password=<non-null>
A1 AUTHENTICATE XOAUTH2 ....E=
A1 NO AUTHENTICATE failed.
javax.mail.AuthenticationFailedException: AUTHENTICATE failed.

问题排查与解决 #

解码令牌不含scp或roles属性确实说明令牌权限不足，这是导致认证失败的核心原因，可按以下步骤排查：

• 检查Azure AD应用权限配置
  你使用的是client_credentials模式，需要在Azure AD应用注册中添加应用权限（而非委派权限），选择Exchange的IMAP.AccessAsApp权限，并且必须由租户管理员完成权限授予操作。确认已授予的权限在应用注册的"权限"页面可见。

• 验证邮箱账户的访问授权
  即使应用拥有IMAP权限，仍需对目标邮箱单独授予访问权限。可通过Exchange Online PowerShell执行以下命令：

  Add-MailboxPermission -Identity "xxx@yyy.com" -User "你的应用客户端ID" -AccessRights FullAccess
  

• 修正令牌请求与JavaMail配置

  • 令牌请求的scope值https://outlook.office365.com/.default是正确的，但如果应用未配置权限，令牌不会包含roles字段，需重新确认权限配置。
  • JavaMail配置中，mail.imap.starttls.enable设为true会和993端口的SSL直连冲突，建议移除该配置项。同时确保使用最新版本的JavaMail，避免旧版本的XOAUTH2支持问题。

内容的提问来源于stack exchange，提问作者Ralph