如何解决MailKit在STARTTLS模式下用户名密码认证失败问题

问题根因 #

你的企业邮件服务器为微软ESMTP服务，支持NTLM、LOGIN两种认证机制，报错是因为MailKit的默认配置与.NET自带SmtpClient行为不一致导致的，核心差异在两点：

1. MailKit未复用你配置的ValidateServerCertificate证书验证回调，STARTTLS握手后的认证上下文与SmtpClient不一致
2. MailKit默认认证机制优先级与SmtpClient不同，会优先尝试LOGIN认证，而你的带域名用户名在LOGIN机制下校验不通过，SmtpClient默认优先使用适配域账号的NTLM认证

解决代码 #

修改你的MailKit连接认证逻辑如下：

client.CheckCertificateRevocation = false;
// 对齐SmtpClient的证书验证逻辑
client.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) => 
    ValidateServerCertificate(sender, certificate, chain, sslPolicyErrors);
client.Connect(Host, 25, SecureSocketOptions.StartTls);

// 移除不需要的OAuth2认证机制，避免干扰
client.AuthenticationMechanisms.Remove("XOAUTH2");
// 强制优先使用NTLM认证，适配企业域账号
if (client.AuthenticationMechanisms.Contains("NTLM"))
{
    client.AuthenticationMechanisms.Remove("LOGIN");
}

// 如果上述配置仍然报错，就显式拆分域和用户名传入NetworkCredential
// 示例：用户名格式为user@domain.com时拆分
// var userParts = Username.Split('@');
// var cred = new NetworkCredential(userParts[0], Password, userParts[1]);
// 示例：用户名格式为domain\user时拆分
// var userParts = Username.Split('\\');
// var cred = new NetworkCredential(userParts[1], Password, userParts[0]);

client.Authenticate(new NetworkCredential(Username, Password));

验证说明 #

你之前观察到的两个现象也匹配上述根因：

• 移除域名后认证成功，是因为此时LOGIN机制可以识别无域名的用户名，无法使用STARTTLS是因为没有配置证书回调导致TLS握手被拦截
• STARTTLS模式下可以匿名连接，是因为TLS握手本身可以正常完成，问题只出在认证步骤的机制选择

内容的提问来源于stack exchange，提问作者human aid