无用户交互的长期后台应用中IMAP/SMTP/POP3的OAuth适配问询

我们售卖一款作为Web应用扩展的Java应用，支持通过IMAP、POP3和SMTP协议连接邮箱。此前仅支持基础认证（用户名+密码），并建议用户搭配TLS和应用密码使用。但微软将于10月1日停用基础认证，全面转向OAuth2；同时Gmail目前仅支持OAuth2，因此必须为应用添加OAuth2支持。

面临的核心挑战 #

• 大量客户服务器部署在防火墙后，网络连接受限
• 应用以JAR包形式分发，无法打包客户端密钥
• 不同客户的服务器可访问URL存在差异

我们的需求是：仅在用户通过Web UI完成初始配置时允许使用浏览器，后续应用需每5分钟无用户交互地自动连接邮箱。原本考虑隐式流，因其无需客户端密钥，但该流不支持刷新令牌，而我们需要刷新令牌来持续获取新的访问令牌。

核心问题 #

1. 哪种OAuth2流最适配当前场景？
2. 将共享密钥/私钥放入JAR包是否可行？目前已知仅存在钓鱼风险，但这个问题我无法解决。
3. 如何处理不同客户的重定向URL差异？
4. 依赖刷新令牌实现应用永久认证是否安全？

最终落地方案 #

• 针对Gmail：由于Gmail不支持动态客户端注册，且设备注册无法访问Gmail所需的权限范围，我们让用户自行注册OAuth客户端。为此提供了对应的UI，让用户输入自己的客户端ID/密钥，同时配套了创建客户端的教程。尽管需要客户额外操作，但客户具备相应技术能力，该方案可行，且未被Bugcrowd研究员指出问题。
• 针对Microsoft Exchange：直接使用其支持的公共客户端设备流即可。

内容的提问来源于stack exchange，提问作者Gellweiler