2022年5月30日谷歌新政后PHP IMAP连接Gmail失效如何解决

2022年5月30日谷歌正式下线Gmail的低安全性应用访问支持，所有直接使用账号明文登录密码调用IMAP/SMTP接口的第三方应用，都会被服务端直接拦截连接，触发报错：
imap_open(): Couldn't open stream {imap.gmail.com:993/imap/ssl}INBOX
该问题和代码逻辑、服务器网络配置无直接关联，属于接口鉴权规则调整导致的兼容性问题，调整前功能可正常运行是因为旧规则允许账号密码直连。

方案1：使用应用专用密码（改造成本最低，兼容原有代码逻辑） #

• 先为对应Gmail账号开启两步验证（2FA），未开启2FA的账号不支持生成应用专用密码
• 进入谷歌账号安全设置页，找到「应用专用密码」配置入口，应用类型选择「邮件」，设备类型匹配部署应用的服务器/终端，生成16位长度的专用登录密码
• 将代码中原先填写Gmail账号登录密码的字段，替换为刚生成的16位专用密码，原有IMAP连接地址、端口、SSL配置参数无需修改，即可恢复正常连接
• 若使用的是谷歌Workspace企业账号，需要先由组织管理员在后台放开「允许用户生成应用专用密码」的权限，否则个人设置页不会展示对应入口

方案2：切换OAuth2.0鉴权调用Gmail API（长期稳定方案，不受后续安全策略影响） #

• 在谷歌云控制台创建对应应用项目，启用Gmail API服务，申请OAuth2.0客户端鉴权凭证
• 改造代码侧IMAP鉴权逻辑，不再传递明文登录密码，改用OAuth2.0流程获取的有效access token完成身份校验，连接串调整为{imap.gmail.com:993/imap/ssl/authuser=目标Gmail邮箱地址}INBOX即可
• 该方案无需强制开启账号两步验证，也不会被后续谷歌账号安全规则迭代拦截，适合正式对外提供服务的生产级应用

• 调整鉴权方式前先确认服务器网络连通性：执行openssl s_client -connect imap.gmail.com:993测试993端口是否能正常建连，排除服务器防火墙、安全组出站规则拦截的问题
• 不要尝试关闭SSL加密、改用非143/993之外的端口连接，Gmail已长期强制要求IMAP连接必须走SSL加密，非加密请求会被直接丢弃
• 若本地测试环境替换专用密码后仍报证书校验错误，可在IMAP连接串末尾加/novalidate-cert参数临时绕过证书校验，生产环境不建议关闭该校验逻辑，避免中间人攻击风险

内容的提问来源于stack exchange，提问作者Sanjay Garg