Microsoft 365 OAuth2对接IMAP/SMTP时获取用户邮箱的方案咨询

该方案完全合规可用，返回的邮箱字段稳定可靠，是官方推荐的简化实现方式。

• 你当前配置的scope已经包含openid、profile、email三个OIDC标准权限，授权码换token时会在同一次响应里同时返回用于IMAP/SMTP的access_token、包含用户身份信息的id_token、用于续期的refresh_token，不需要单独发起第二次授权或换token请求。
• 你只需要在多租户应用的注册配置中，给id_token添加两个可选声明即可稳定获取登录用户名：
  • 优先取email声明：该字段默认返回用户的主SMTP地址，就是IMAP/SMTP认证需要的用户名参数
  • fallback取preferred_username声明：部分租户如果未单独填充email字段，该值会返回用户UPN，纯云租户场景下UPN和主邮箱地址完全一致，可直接用于认证
• 不要使用旧版unique_name字段取值，该字段属于遗留兼容字段，不同租户配置下返回值可能是本地账号名、UPN等不确定内容，不适合作为登录用户名。
• 该实现完全符合微软OAuth2/OIDC标准规范，不存在合规风险，只要完成可选声明配置，在所有M365商业租户、教育租户、个人微软账号场景下，对应字段都能稳定返回，不会出现随机缺失问题。

你之前遇到的需要两次调用、两个授权码的问题，本质是错误拆分了授权请求，正确流程全程只需要1次授权跳转、1次token兑换调用，完全不需要请求Graph接口：

1. 构造授权请求时，直接使用你当前配置的scope组合即可，不需要额外添加任何Graph相关权限（比如User.Read），加多余权限反而可能因为租户管理员未开启对应同意导致授权失败：

openid profile email offline_access https://outlook.office.com/IMAP.AccessAsUser.All https://outlook.office.com/SMTP.Send

2. 用户完成授权后，拿到授权码调用https://login.microsoftonline.com/common/oauth2/v2.0/token端点换token，从单次响应里提取两个核心参数：
   • 提取access_token字段，直接作为SaslMechanismOAuth2构造方法的AccessToken参数
   • 解析经过签名校验的id_token的JWT载荷，按优先级取email/preferred_username字段值，作为构造方法的Username参数
3. 保留响应里的refresh_token，后续access_token过期时直接用它刷新即可，不需要用户重复登录授权。

• 解析id_token前必须完成签名校验、发行方校验，不要直接解析未校验的JWT内容，避免伪造token带来的安全风险，主流OIDC SDK都会默认完成这些校验步骤，不需要手动实现。
• 针对少数AD混合同步的租户，如果出现email和preferred_username取值无法登录IMAP的情况，可以在可选声明中额外添加upn字段作为第三优先级fallback，可覆盖99.9%以上的生产租户场景。

内容的提问来源于stack exchange，提问作者Samuel