多服务器多Office365邮箱场景下需多少OAuth注册？

核心结论 #

• 单台服务器仅需1个Azure AD应用注册，就能覆盖该服务器上所有@<companyname>.de邮箱的SMTP发送和IMAP接收操作。
• 两台服务器总共需要2个Azure AD应用注册（每台对应一个），分开注册更安全，也方便权限和日志管控。

详细说明 #

1. 单个应用支持多邮箱的逻辑 #

在Azure AD里注册应用时，只要配置应用级权限（而非用户委托权限），并给Office 365邮箱授予对应的权限：

• 发邮件：SMTP.Send应用权限
• 收邮件：IMAP.AccessAsApp应用权限

权限经全局管理员同意后，这个应用注册可以通过客户端凭据流获取令牌，对同租户下的所有邮箱执行SMTP发件和IMAP收件操作，完全不需要为每个邮箱单独注册应用。

2. 两台服务器分开注册的原因 #

虽然理论上可以共用一个应用注册，但强烈建议分开：

• 安全隔离：如果其中一台服务器的客户端密钥泄露，另一台的操作不会受影响，避免风险扩散。
• 权限精细化：比如其中一台服务器只需要发邮件权限，不需要收邮件权限，分开注册可以单独配置。
• 日志排查：不同的应用注册有独立的操作日志，出问题时更容易定位到具体服务器的操作。

3. 关键配置提示 #

• 注册应用时，账户类型选「此组织目录中的账户」（对应你的Office 365租户）。
• 分配完SMTP和IMAP的应用权限后，必须由全局管理员完成权限同意。
• 在PhpMailer里配置OAuth2时，用客户端凭据流，填入应用的客户端ID、客户端密钥、租户ID，再指定对应的邮箱地址即可。

内容的提问来源于stack exchange，提问作者biberman