使用ExchangeService访问共享邮箱返回401 Unauthorized故障咨询

服务调整说明 #

微软自2022年起分批关停Exchange Online的EWS接口基本身份验证支持，2023年已完成全量覆盖，只要使用传统用户名密码的基本认证方式调用接口，无论凭证是否有效都会返回401 unauthorized报错，这是你遇到问题的核心原因。如果你使用的是本地部署的Exchange Server而非Exchange Online，可先检查近期是否安装了涉及身份验证的安全补丁，部分补丁会默认关闭EWS的基本认证开关。

可落地的适配方案 #

• 方案1：替换为OAuth 2.0身份验证调用EWS接口（最小改动适配）
  操作步骤如下：
  1. 在Azure AD中注册应用，授予EWS.AccessAsUser.All委托权限（EWS应用级权限仅对特殊合规场景开放，优先使用委托权限）
  2. 代码层面替换原有凭证认证逻辑，通过MSAL库获取OAuth访问令牌后赋值给EWS服务对象即可，C#示例代码如下：

  // 初始化MSAL客户端
  var pca = PublicClientApplicationBuilder
      .Create("你的Azure应用客户端ID")
      .WithTenantId("你的租户ID")
      .Build();
  // 申请EWS访问令牌
  var scopes = new string[] { "https://outlook.office365.com/EWS.AccessAsUser.All" };
  var authResult = await pca.AcquireTokenByUsernamePassword(scopes, "共享邮箱地址", "共享邮箱密码").ExecuteAsync();
  // 初始化EWS服务
  ExchangeService service = new ExchangeService(ExchangeVersion.Exchange2016);
  service.Url = new Uri("https://outlook.office365.com/EWS/Exchange.asmx");
  service.Credentials = new OAuthCredentials(authResult.AccessToken);
  

• 方案2：迁移到Microsoft Graph接口（长期稳定方案）
  EWS已被微软列入淘汰计划，未来会逐步停止功能更新和维护，优先迁移到Graph邮件接口，适配逻辑更简单，权限控制更灵活，同样支持共享邮箱操作：
  1. Azure AD注册应用授予Mail.Send权限（支持委托/应用两种权限类型）
  2. 调用对应Graph接口即可完成邮件发送，无需依赖EWS相关SDK。

异常排查要点 #

如果适配OAuth后仍返回401报错，可优先检查两个点：

• 解码获取到的OAuth令牌，确认aud声明为https://outlook.office365.com，且权限声明包含对应的EWS访问权限
• 若共享邮箱开启了多重身份验证，不能使用用户名密码流获取令牌，需改用客户端凭据流或其他支持MFA的认证流。

内容的提问来源于stack exchange，提问作者aj go