使用MailKit通过用户名密码连接Office365 Outlook遇AADSTS50076错误

错误本质 #

你遇到的AADSTS50076错误直接说明：目标邮箱账户已被管理员强制启用多因素认证（MFA），而你当前使用的资源所有者密码凭据（ROPC）授权模式完全不支持MFA验证，因此被Azure AD拒绝。微软早已不推荐将ROPC用于桌面/移动应用，尤其是启用MFA的场景。

必须调整的配置与步骤 #

1. 切换OAuth2授权模式 #

桌面应用必须改用授权码流+PKCE模式，这是微软官方推荐的桌面应用OAuth2认证方案，天然支持MFA。

2. 修正Azure应用注册配置 #

• 确认应用类型设置为公共客户端（桌面和移动设备），而非机密客户端
• 添加正确的重定向URI：桌面应用可使用msal{你的ClientId}://auth（比如msal12345678-1234-1234-1234-1234567890ab://auth），或者http://localhost
• 授予正确的委托权限：添加Mail.Read、Mail.Send等Exchange Online相关权限，若为企业租户账户，需确保管理员已完成权限同意

3. 修改MailKit代码实现 #

放弃直接传入用户名密码获取令牌的方式，改用MSAL库（Microsoft.Identity.Client）实现授权码流获取令牌，再将令牌传入MailKit。示例代码逻辑如下：

// 初始化MSAL公共客户端
var pca = PublicClientApplicationBuilder
    .Create("你的ClientId")
    .WithRedirectUri("msal{你的ClientId}://auth")
    .WithTenantId("你的租户ID或common")
    .Build();

// 请求邮箱权限
var scopes = new[] { "https://outlook.office365.com/Mail.Read", "https://outlook.office365.com/Mail.Send" };

// 弹出登录窗口完成认证（支持MFA）
var result = await pca.AcquireTokenInteractive(scopes).ExecuteAsync();

// 使用令牌连接Outlook
using var client = new ImapClient();
await client.ConnectAsync("outlook.office365.com", 993, SecureSocketOptions.SslOnConnect);
await client.AuthenticateAsync(new SaslMechanismOAuth2(result.Account.Username, result.AccessToken));

额外检查点 #

• 若你的应用需要在无用户交互场景下运行（比如服务端），则需改用客户端凭据流，但此模式需要申请应用权限而非委托权限，且需Exchange Online管理员配置相应权限

内容的提问来源于stack exchange，提问作者Inoel