如何解决Nodemailer使用2LO对接Google服务账户的异常问题？

我之前帮不少开发者踩过Google服务账户+Nodemailer OAuth2的坑，你的情况太典型了，咱们一步步拆解问题：

首先明确：Google SMTP的唯一正确Host是smtp.gmail.com，mail.google.com根本不是SMTP服务的地址，所以超时是必然的，直接把Host固定为smtp.gmail.com就行，不用再试前者了。

你提到用的是Example4，但那个模板是给普通Web应用的OAuth2授权码流程用的（需要用户手动授权拿refresh token），而服务账户对应的是JWT impersonation（用户模拟）模式，也就是Nodemailer文档里的Example3！用错模板直接会导致令牌创建失败，这是90%的人踩的第一个坑。

服务账户的OAuth2模拟功能只支持Google Workspace（原G Suite）账号，个人Gmail账号完全用不了！如果你是个人邮箱，直接放弃服务账户这条路，改用App密码（需要开启两步验证）。

如果是Google Workspace账号，检查以下几点：

• 域范围委派必须正确配置：
  1. 登录Google Workspace Admin控制台，找到「安全」>「API控制」>「域范围委派」。
  2. 确认已添加服务账户的客户端ID，并且勾选的Scope是https://mail.google.com/（必须是全邮箱权限，窄权限比如gmail.send经常会出权限不足的问题）。
  3. 授权的用户邮箱必须是你要用来发邮件的那个Workspace真实用户（比如john@yourcompany.com），服务账户必须能模拟这个用户。
• 私钥文件不能出错：
  从Google Cloud控制台下载的JSON密钥文件里，private_key字段必须完整复制，包括开头的-----BEGIN PRIVATE KEY-----和结尾的-----END PRIVATE KEY-----，还有中间的换行（很多人复制时会丢掉换行，导致密钥无效）。
• Gmail API必须启用：
  登录Google Cloud控制台，找到你的项目，确保「Gmail API」已经被启用，服务账户的OAuth2验证依赖这个API的权限。

把你原来的Example4代码换成下面的JWT模式代码，替换掉对应的参数：

const nodemailer = require('nodemailer');
const { google } = require('googleapis');

// 初始化JWT客户端，参数全部来自服务账户的JSON密钥文件
const jwtClient = new google.auth.JWT(
  '你的服务账户邮箱@your-project.iam.gserviceaccount.com',
  null,
  '-----BEGIN PRIVATE KEY-----\n你的完整私钥内容\n-----END PRIVATE KEY-----',
  ['https://mail.google.com/'], // 必须用全权限Scope
  '要模拟的Workspace用户邮箱@your-domain.com'
);

async function sendTestEmail() {
  try {
    // 先获取访问令牌
    const token = await jwtClient.authorize();
    
    // 创建Nodemailer传输器
    const transporter = nodemailer.createTransport({
      host: 'smtp.gmail.com',
      port: 465,
      secure: true, // 465端口用SSL，所以设为true；如果用587端口则设为false
      auth: {
        type: 'OAuth2',
        user: '要模拟的Workspace用户邮箱@your-domain.com',
        clientId: '你的服务账户client_id',
        clientSecret: '你的服务账户client_secret', // JWT模式下这个可选，填不填都行
        accessToken: token.access_token
      }
    });

    // 发送测试邮件
    const info = await transporter.sendMail({
      from: '"测试发件人" <要模拟的Workspace用户邮箱@your-domain.com>',
      to: '收件人邮箱@example.com',
      subject: '服务账户OAuth2测试邮件',
      text: '这是通过Nodemailer+Google服务账户发送的测试邮件',
      html: '<b>这是通过Nodemailer+Google服务账户发送的测试邮件</b>'
    });

    console.log('邮件发送成功：', info.messageId);
  } catch (err) {
    console.error('发送失败：', err.message);
    // 如果是权限错误，去Workspace Admin的审核日志里查详细原因
  }
}

sendTestEmail();

• 如果你还是遇到连接问题，先暂时关闭本地防火墙或代理，有时候网络拦截会导致SMTP连接失败。
• 去Google Workspace Admin控制台的「报告」>「审核日志」>「API调用」里，搜索服务账户的邮箱，看看有没有失败的授权请求，里面会有详细的错误原因（比如权限不足、用户未被授权模拟等）。

如果按上面的步骤排查后还是有问题，可以把你的服务账户配置截图（隐去敏感信息）和代码关键部分贴出来，我帮你再精准定位。

内容的提问来源于stack exchange，提问作者Lance Massey