Azure OAuth2.0认证失败：Jakarta Mail连接Outlook账户报错排查

1. 客户端凭证流不适用于个人Outlook账户的IMAP授权 #

客户端凭证流是服务到服务的授权方式，仅适用于Azure AD租户下的应用场景，个人Microsoft账户（如@outlook.com、@hotmail.com）不支持用这种方式进行IMAP/SMTP的XOAUTH2认证。个人邮箱必须使用授权码流或设备授权流这类需要用户交互授权的流程——客户端凭证流无法关联到具体的个人用户邮箱，导致获取的令牌没有对应邮箱的访问权限。

2. API权限配置错误 #

• 你添加的IMAP.AccessAsUser.all等权限属于委托权限，但客户端凭证流无法获取带用户上下文的权限；同时，个人邮箱不支持应用权限（Application权限）直接访问。
• 针对IMAP协议，权限范围必须指向Outlook邮件服务，而非Graph API：正确的范围应该是https://outlook.office.com/IMAP.AccessAsUser.All、https://outlook.office.com/Mail.ReadWrite，而非graph.microsoft.com下的范围。

3. Jakarta Mail配置存在拼写错误 #

你的配置中有一处明显的拼写错误：mail.imaps.auth.login.disabe，正确的键名应该是mail.imaps.auth.login.disable（缺少字母'l'）。这个错误会导致Login认证机制未被禁用，可能与XOAUTH2认证冲突，进而引发认证失败。

4. 令牌受众不匹配 #

如果用https://graph.microsoft.com/.default范围获取令牌，其受众是Graph API；即使后来改用https://outlook.office.com/.default，客户端凭证流获取的令牌依然无法关联到个人用户，IMAP服务会因为令牌无对应用户权限而拒绝认证。

5. 个人邮箱安全设置限制 #

• 检查你的Microsoft账户是否开启了两步验证，若开启，需确保使用授权码流时正确处理MFA验证；
• 登录Microsoft账户安全中心，查看是否有阻止该应用登录的记录，若有需手动允许应用访问。

内容的提问来源于stack exchange，提问作者Andy Brunner