Java通过SMTP使用Gmail OAuth2服务账号JWT发信报400问题咨询

核心问题答复 #

• Gmail 支持服务账号通过JWT换取OAuth2令牌完成认证，但SMTP协议对接场景下的服务账号认证存在强制前置配置要求，并非成功换取token即可直接调用。
• 普通个人Gmail账号完全不支持服务账号JWT授权模式，该模式仅面向Google Workspace账号开放，个人Gmail账号只能走需要用户手动授权的三腿OAuth流程，不存在可绕过的方案。

400错误原因排查 #

你之前怀疑的access_type=online不是报错根源：服务账号通过JWT换取的令牌默认就是online类型，固定1小时有效期，本身不需要刷新令牌，和三腿OAuth的offline模式逻辑完全不同，不需要在这个参数上做额外配置。
你拿到的access_token末尾带大量句点属于正常现象，这是JWT格式令牌的签名段，不是异常数据，调用时完整传入即可。
返回400的核心原因是前置配置缺失：服务账号要访问Gmail SMTP接口，必须先配置全域授权，否则就算token校验返回的scope看起来正确，SMTP服务端依然会拒绝认证请求。

正确配置流程 #

• 进入Google Cloud对应项目的服务账号管理页，找到你当前使用的服务账号，开启全域授权选项，复制保存该服务账号的客户端ID。
• 使用Google Workspace超级管理员权限进入管理后台，在安全相关的API控制板块找到全域授权配置入口，新增授权项：粘贴之前保存的服务账号客户端ID，授权范围填写https://mail.google.com/，保存后等待配置生效（一般1-2分钟即可）。
• 调用令牌接口换取access_token时，请求体必须增加sub字段，字段值为你实际用来发信的Workspace下的具体邮箱地址，例如sub=notify@your-domain.com。如果漏填这个字段，拿到的token仅对应服务账号本身，不具备操作具体用户邮箱的权限，调用SMTP依然会报错。

Java侧SMTP连接配置注意：连接端口使用587，开启STARTTLS加密，认证机制选择XOAUTH2，传入token时不要做截断、转义处理，完整携带token的全部字符即可。

内容的提问来源于stack exchange，提问作者Greg Bluntzer