使用OAuth 2.0连接MS365邮箱时JavaMail报NO AUTHENTICATE错误排查

我有一个Java 8后台任务，需通过OAuth 2.0读取并处理MS365邮件：

• A) 认证模式：采用“客户端凭证”模式，按微软官方文档配置
• B) 令牌获取：
  • 端点：https://login.microsoftonline.com/11111111-2222-3333-4444-55555555555555/oauth2/v2.0/token
  • 作用域：https://outlook.office365.com/.default
  • 应用ID和密钥正确，已获取可解码为有效JWT的access token
• C) 连接错误：使用该access token调用JavaMail的connect()连接outlook.office365.com:993时，返回A1 NO AUTHENTICATE failed

邮件属性配置：

Mail property mail.imaps.auth.login.disabe: true
Mail property mail.imaps.auth.plain.disable: true
Mail property mail.debug.auth.password: false
Mail property mail.mime.ignoreunknownencoding: true
Mail property mail.imaps.port: 993
Mail property mail.imaps.sasl.mechanisms: XOAUTH2
Mail property mail.store.protocol: imaps
Mail property mail.imaps.ssl.enable: true
Mail property mail.imaps.partialfetch: false
Mail property mail.mime.decodetext.strict: false
Mail property mail.debug.auth: true
Mail property mail.imaps.peek: true
Mail property mail.imaps.sasl.enable: true

调试日志：

DEBUG: setDebug: Jakarta Mail version 1.6.7
DEBUG: getProvider() returning javax.mail.Provider[STORE,imaps,com.sun.mail.imap.IMAPSSLStore,Oracle]
DEBUG IMAPS: mail.imap.partialfetch: false
DEBUG IMAPS: mail.imap.ignorebodystructuresize: false
DEBUG IMAPS: mail.imap.statuscachetimeout: 1000
DEBUG IMAPS: mail.imap.appendbuffersize: -1
DEBUG IMAPS: mail.imap.minidletime: 10
DEBUG IMAPS: enable SASL
DEBUG IMAPS: SASL mechanisms allowed: XOAUTH2
DEBUG IMAPS: peek
DEBUG IMAPS: closeFoldersOnStoreFailure
DEBUG IMAPS: trying to connect to host "outlook.office365.com", port 993, isSSL true
* OK The Microsoft Exchange IMAP4 service is ready. [WgBSADAAUAAyADcAOABDAEEAMAAwADkAMAAuAEMASABFAFAAMgA3ADgALgBQAFIATwBEAC4ATwBVAFQATABPAE8ASwAuAEMATwBNAA==]
A0 CAPABILITY
* CAPABILITY IMAP4 IMAP4rev1 AUTH=PLAIN AUTH=XOAUTH2 SASL-IR UIDPLUS ID UNSELECT CHILDREN IDLE NAMESPACE LITERAL+
A0 OK CAPABILITY completed.
DEBUG IMAPS: AUTH: PLAIN
DEBUG IMAPS: AUTH: XOAUTH2
DEBUG IMAPS: protocolConnect login, host=outlook.office365.com, user=xxx@xxx.com, password=<non-null>
DEBUG IMAPS: SASL Mechanisms:
DEBUG IMAPS:  XOAUTH2
DEBUG IMAPS: 
DEBUG IMAPS: SASL client XOAUTH2
DEBUG IMAPS: SASL callback length: 2
DEBUG IMAPS: SASL callback 0: javax.security.auth.callback.NameCallback@e2e750a
DEBUG IMAPS: SASL callback 1: javax.security.auth.callback.PasswordCallback@8765a5d1
A1 AUTHENTICATE XOAUTH2 
dXNlcj1h ... (Valid Token) ... AQ==
A1 NO AUTHENTICATE failed.

调试日志中的认证字符串可正确解码为user=xxx@xxx.com auth=Bearer <access token>格式。

请问在access token有效的情况下，导致“NO AUTHENTICATE”错误的可能原因是什么？

• 应用权限配置缺失：客户端凭证模式下，必须在Azure AD为应用分配Exchange Online的应用权限（如IMAP.AccessAsApp），且需全局管理员完成权限同意。委托权限对该模式无效。
• 邮箱未授权应用访问：即使应用有全局权限，仍需通过PowerShell给目标邮箱授予应用访问权限，命令示例：New-ApplicationAccessPolicy -AppId <你的应用ID> -PolicyScopeGroupId <邮箱地址> -AccessRight Allow -Description "允许应用访问该邮箱"
• 令牌权限/受众不匹配：解码JWT令牌，检查aud（受众）是否为https://outlook.office365.com，roles字段是否包含IMAP.AccessAsApp权限。若受众错误或无对应角色，会触发认证失败。
• JavaMail配置拼写错误：配置中mail.imaps.auth.login.disabe存在拼写错误，应为mail.imaps.auth.login.disable。该错误可能导致JavaMail启用LOGIN认证，干扰XOAUTH2流程。
• 邮箱状态异常：目标邮箱可能处于禁用、归档或受限制状态，无法通过IMAP被应用访问，需确认邮箱正常可用。

内容的提问来源于stack exchange，提问作者Andy Brunner