.Net Core SMTP发信无法认证，Azure部署应用突发5.7.57等错误求助

核心故障根因 #

你遇到的报错是微软云邮件服务安全策略更新后的典型现象，核心诱因集中在以下几点：

• Office365/Exchange Online 已默认全局禁用SMTP基础身份验证（Basic Auth），这是此前服务正常、近期突然报错的最常见原因，你遇到的535 5.7.139、5.7.57均是基础认证被拦截的标准返回码
• Azure AD安全策略变更：比如新增了针对发信账号的条件访问策略（IP限制、强制多因素认证MFA）、账号触发风险检测，SMTP基础认证本身不支持MFA，会被直接拦截
• 租户/用户级SMTP权限被关闭：即使全局保留了基础认证权限，单个发信账号的SMTP AUTH权限可能被管理员误关闭
• 改用Exchange服务时返回401，一般是应用身份权限配置错误、令牌获取逻辑异常，或者权限未获得管理员授权

分步排查解决步骤 #

1. 临时修复：启用SMTP基础认证（不推荐长期使用） #

仅适合临时应急，微软已明确会逐步淘汰基础认证方式：

• 登录Exchange管理中心，先确认租户级SMTP AUTH开关已开启：路径为邮件 > 邮件流 > 设置 > 安全设置，勾选「打开SMTP AUTH（仅限整个组织）」
• 单独开启发信账号的SMTP权限：路径为用户 > 活跃用户 > 选中发信账号 > 邮件 > 电子邮件应用 > 管理电子邮件应用，勾选「经过身份验证的SMTP」
• 确认该账号未被强制开启MFA，且Azure应用的出站IP已被加入条件访问策略的允许列表，未被拦截

2. 长期推荐方案：改用SMTP OAuth2现代认证 #

.Net Core环境推荐使用MailKit库实现现代认证，示例代码如下：

using MailKit.Net.Smtp;
using MimeKit;
using Microsoft.Identity.Client;

// 替换为你的Azure应用配置参数
var clientId = "Azure应用注册的Client ID";
var tenantId = "租户ID";
var clientSecret = "应用客户端密钥";
var scopes = new[] { "https://outlook.office365.com/.default" };

// 获取访问令牌
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .Build();
var authResult = await confidentialClient.AcquireTokenForClient(scopes).ExecuteAsync();

// 构造并发送邮件
var message = new MimeMessage();
message.From.Add(new MailboxAddress("发件人名称", "发件人邮箱地址"));
message.To.Add(new MailboxAddress("收件人名称", "收件人邮箱地址"));
message.Subject = "测试邮件";
message.Body = new TextPart("plain") { Text = "邮件内容" };

using (var client = new SmtpClient()) {
    await client.ConnectAsync("smtp.office365.com", 587, MailKit.Security.SecureSocketOptions.StartTls);
    await client.AuthenticateAsync(new SaslMechanismOAuth2("发件人邮箱地址", authResult.AccessToken));
    await client.SendAsync(message);
    await client.DisconnectAsync(true);
}

配置注意事项：

• 提前在Azure AD注册应用，授予Office 365 Exchange Online的SMTP.SendAsApp应用权限，且需要租户管理员同意授权
• 确认发件人邮箱已对该应用开放发送权限

3. Exchange 401报错排查 #

• 确认身份验证方式和Exchange服务配置匹配：如果是本地Exchange Server，检查是否开启了NTLM或OAuth2认证
• 如果调用的是Exchange Web Service（EWS），确认令牌的受众（aud）参数与Exchange地址匹配，请求权限范围正确
• 确认Azure应用的出站IP已加入Exchange的允许列表，未被防火墙、反垃圾策略拦截

内容的提问来源于stack exchange，提问作者Ammu