非交互式守护应用如何通过OAuth2使用MailKit经IMAP连接Exchange

微软停用Exchange Online基础身份验证后，并未封禁IMAP协议访问，仅关闭了用户名+密码的认证入口。你不需要立刻重构到Microsoft Graph，直接给现有MailKit逻辑替换为OAuth2.0客户端凭据认证即可，所有邮件读取、处理的业务代码完全不需要改动，整体调整耗时不超过半小时。

Azure AD侧前置配置 #

• 在Azure Active Directory中注册新的应用，账户类型选择「仅限本组织目录内的账户」，无需配置重定向URI
• 为该应用添加API权限：选择Office 365 Exchange Online下的应用程序权限IMAP.AccessAsApp，注意不要选委托权限（委托权限需要用户交互登录，不适用于守护程序场景），添加完成后点击「授予管理员同意」
• 由租户Exchange管理员执行以下PowerShell命令，为注册的应用授予目标邮箱的访问权限：

# 已安装Exchange Online管理模块可跳过首行
Install-Module -Name ExchangeOnlineManagement
Connect-ExchangeOnline

# 占位符替换为实际值：AppId填Azure应用的客户端ID，ServiceId填Azure应用的对象ID
New-ServicePrincipal -AppId <Azure应用客户端ID> -ServiceId <Azure应用对象ID> -DisplayName "MailKitDaemonIMAPAccess"
# 给服务主体授予目标邮箱的完全访问权限，多邮箱访问就重复执行这行替换邮箱地址即可
Add-MailboxPermission -Identity <待访问的目标邮箱地址> -User <上一步创建的服务主体ServiceId> -AccessRights FullAccess

• 为该Azure应用生成客户端密钥，记录好四个核心参数：租户ID、应用客户端ID、客户端密钥值、待访问邮箱地址

MailKit侧代码调整 #

• 先将项目中的MailKit升级到最新稳定版，旧版本对OAuth2认证的IMAP连接存在已知兼容问题
• 安装NuGet包Microsoft.Identity.Client用于获取OAuth2令牌，不需要自己手写令牌请求逻辑
• 仅替换原有认证段的代码即可，连接IMAP服务器、读取邮件、处理邮件的原有逻辑完全保留：

// 替换为之前记录的四个配置参数
var tenantId = "你的Azure租户ID";
var clientId = "Azure应用客户端ID";
var clientSecret = "Azure应用生成的客户端密钥";
var targetMailAddress = "待访问的邮箱地址";

// 初始化机密客户端
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .Build();

// 获取IMAP访问所需的OAuth2令牌，自带缓存自动续期，不需要手动处理过期
var authResult = await confidentialClient.AcquireTokenForClient(new[] {"https://outlook.office365.com/.default"})
    .ExecuteAsync();

// IMAP连接配置和之前完全一致，不需要改服务器地址、端口、SSL设置
using var imapClient = new ImapClient();
await imapClient.ConnectAsync("outlook.office365.com", 993, true);
// 替换原有的用户名密码认证逻辑
await imapClient.AuthenticateAsync(new SaslMechanismOAuth2(targetMailAddress, authResult.AccessToken));

// 以下原有收件箱读取、邮件处理的业务代码不需要做任何修改
// ...

补充说明 #

• 该方案为微软官方支持的正式访问方式，不是临时绕过手段，可以稳定使用到你完成Graph版本重构为止
• 客户端凭据流属于无用户的守护程序专属认证流，不需要任何人工交互登录，完全适配后台服务场景
• 令牌默认有效期为1小时，Microsoft.Identity.Client自带的令牌缓存会自动在过期前刷新新令牌，不需要额外写续期逻辑
• 若后续需要访问多个邮箱，不需要重复注册应用，只要给同一个服务主体添加对应邮箱的FullAccess权限即可

内容的提问来源于stack exchange，提问作者laurian