PHPMailer集成Gmail API：全scope可用 受限send scope发信失败

报错核心是申请的权限范围和PHPMailer默认走的SMTP发信链路的鉴权要求不匹配：

• 你最初使用的https://mail.google.com/是Gmail全量权限，天然覆盖了SMTP协议访问Gmail服务器所需的所有鉴权要求，传统SMTP over TLS发信链路可以正常通过校验，因此发信功能正常。
• 你后续替换的https://www.googleapis.com/auth/gmail.send是Gmail API专属的最小发信权限，不支持Gmail SMTP接口的XOAUTH2鉴权校验。Gmail的SMTP服务做权限校验时，会强制要求访问令牌携带SMTP访问对应的权限声明，仅持有Gmail API专属的send权限时，SMTP链路会直接拒绝连接，最终抛出SMTP连接失败的报错。
• 之所以能正常走完授权流程拿到refresh token，是因为OAuth授权环节仅校验申请的scope是否为Google开放的合法权限，不会校验该权限是否支持后续要访问的具体服务，因此授权环节不会报错，只有实际调用SMTP接口时才会触发权限拦截。

你可以根据自身代码改造成本二选一，两种方案都不需要申请全量邮箱权限，符合最小权限安全原则：

方案1：补充SMTP专属最小发信权限（代码改动最小） #

保留现有PHPMailer的SMTP发信逻辑不变，仅在授权scope中补充Gmail SMTP专属的最小发信权限即可。这个权限仅允许通过SMTP协议提交发信请求，不包含读信、删信、修改邮箱配置等高风险权限，访问范围远小于全量mail.google.com/权限：

$options = [
    'scope' => [
        'https://www.googleapis.com/auth/gmail.send',
        // 新增SMTP鉴权必需的最小权限
        'https://www.googleapis.com/auth/gmail.smtp.send'
    ]
];

注意事项：

• 调整scope配置后，必须让授权用户重新走一次OAuth授权流程，新颁发的access/refresh token才会携带对应权限，旧的token不会自动更新权限范围。

方案2：改用Gmail API直连发信（权限收敛最彻底） #

如果不想开放任何SMTP相关权限，可以完全放弃PHPMailer的SMTP发信逻辑，直接调用Gmail API的发信接口发信。这种场景下仅需要你之前配置的https://www.googleapis.com/auth/gmail.send单个权限即可，是安全级别最高的方案：

• 先用PHPMailer的邮件生成能力组装好待发送的邮件MIME内容
• 对生成的原始MIME内容做base64url编码
• 携带有效的access token调用Gmail API的messages.send接口，提交编码后的邮件内容即可完成发信
• 该方案完全不走SMTP端口连接，不会触发SMTP鉴权拦截，也不需要开放任何额外权限。

内容的提问来源于stack exchange，提问作者Trapa