PHP中基于OAuth 2实现Exchange账户无密码收发邮件及错误排查

阿华AIGC实验室

2026-5-25

嘿，你这明显踩了个常见的坑——用Google的OAuth库去对接Exchange账户，这俩根本不是一个生态的身份提供商，难怪会报invalid_grant错误！下面我一步步给你捋清楚怎么用PHPMailer实现Exchange的无密码OAuth收发邮件：

第一步：替换依赖库，用微软专属的OAuth2客户端

你之前用的league/oauth2-google是给Gmail量身定做的，Exchange属于微软生态，必须换成league/oauth2-microsoft库。先通过Composer安装正确的依赖：

composer require league/oauth2-microsoft phpmailer/phpmailer

第二步：在Azure AD注册应用（核心前置操作）

要实现Exchange的OAuth授权，必须先在Azure Active Directory里注册一个应用，这是获取令牌的前提：

登录Azure门户，找到「Azure Active Directory」→「应用注册」→「新注册」
填写应用名称，选择账户类型（组织内部用选「仅限此组织目录中的账户」，个人/外部用户选对应选项）
设置重定向URI，比如http://localhost/oauth-callback.php（后续用来接收授权码）
注册完成后，记下客户端ID，并在「证书和密码」里生成并保存客户端密钥
进入「API权限」→「添加权限」→「Microsoft Graph」→「委派权限」，添加以下必要权限：
- IMAP.AccessAsUser.All（用于IMAP收邮件）
- SMTP.Send（用于SMTP发邮件）
- POP.AccessAsUser.All（如果需要用POP协议的话）
最后点击「授予管理员同意」（组织账户需要管理员操作，个人账户可自行同意）

第三步：获取授权码与刷新令牌

OAuth2需要先让用户完成授权，拿到授权码后兑换成可长期使用的刷新令牌（刷新令牌能用来反复获取新的访问令牌）：

生成授权跳转URL：

require 'vendor/autoload.php';

session_start();
$provider = new League\OAuth2\Client\Provider\Microsoft([
    'clientId'     => '你的Azure应用客户端ID',
    'clientSecret' => '你的Azure应用客户端密钥',
    'redirectUri'  => '你设置的重定向URI',
    'tenant'       => '你的租户ID（组织账户填租户ID，个人账户填common）',
]);

// 生成授权URL并保存state防止CSRF攻击
$authUrl = $provider->getAuthorizationUrl([
    'scope' => ['https://outlook.office.com/IMAP.AccessAsUser.All', 'https://outlook.office.com/SMTP.Send'],
]);
$_SESSION['oauth2state'] = $provider->getState();

// 跳转到微软授权页面
header('Location: ' . $authUrl);
exit;

在重定向页面（比如oauth-callback.php）兑换令牌：

require 'vendor/autoload.php';
session_start();

$provider = new League\OAuth2\Client\Provider\Microsoft([
    'clientId'     => '你的Azure应用客户端ID',
    'clientSecret' => '你的Azure应用客户端密钥',
    'redirectUri'  => '你设置的重定向URI',
    'tenant'       => '你的租户ID',
]);

// 验证state防止CSRF
if (empty($_GET['state']) || $_GET['state'] !== $_SESSION['oauth2state']) {
    unset($_SESSION['oauth2state']);
    exit('Invalid state parameter');
}

// 用授权码兑换访问令牌和刷新令牌
$token = $provider->getAccessToken('authorization_code', [
    'code' => $_GET['code']
]);

// 把刷新令牌保存到数据库或配置文件（后续可重复使用）
echo '刷新令牌：' . $token->getRefreshToken();
echo '<br>访问令牌：' . $token->getToken();

第四步：用PHPMailer实现Exchange OAuth收发邮件

有了刷新令牌后，就可以配置PHPMailer实现无密码的邮件收发了：

发邮件（SMTP协议）示例

require 'vendor/autoload.php';

use PHPMailer\PHPMailer\PHPMailer;
use League\OAuth2\Client\Provider\Microsoft;

// 初始化微软OAuth提供商
$provider = new Microsoft([
    'clientId'     => '你的Azure应用客户端ID',
    'clientSecret' => '你的Azure应用客户端密钥',
    'tenant'       => '你的租户ID',
]);

// 用刷新令牌获取最新的访问令牌
$refreshToken = '你保存的刷新令牌';
$token = $provider->getAccessToken('refresh_token', [
    'refresh_token' => $refreshToken
]);

// 配置PHPMailer
$mail = new PHPMailer(true);
try {
    // Exchange SMTP服务器配置
    $mail->isSMTP();
    $mail->Host       = 'smtp.office365.com';
    $mail->SMTPAuth   = true;
    $mail->AuthType   = 'XOAUTH2';
    $mail->Port       = 587;
    $mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;

    // OAuth身份验证配置
    $mail->Username   = '你的Exchange邮箱（如xxx@contoso.com）';
    $mail->setOAuth([
        'provider' => $provider,
        'clientId' => '你的Azure应用客户端ID',
        'clientSecret' => '你的Azure应用客户端密钥',
        'refreshToken' => $refreshToken,
        'userName' => $mail->Username,
    ]);

    // 邮件内容配置
    $mail->setFrom('你的Exchange邮箱', '你的名称');
    $mail->addAddress('收件人邮箱', '收件人名称');
    $mail->Subject = '测试Exchange OAuth无密码发信';
    $mail->Body    = '这是通过OAuth2授权发送的Exchange邮件，无需输入密码！';

    $mail->send();
    echo '邮件发送成功！';
} catch (Exception $e) {
    echo "发送失败: {$mail->ErrorInfo}";
}

收邮件（IMAP协议）示例

如果需要收邮件，可以配合PHP的IMAP扩展实现：

require 'vendor/autoload.php';
use League\OAuth2\Client\Provider\Microsoft;

$provider = new Microsoft([
    'clientId'     => '你的Azure应用客户端ID',
    'clientSecret' => '你的Azure应用客户端密钥',
    'tenant'       => '你的租户ID',
]);

$refreshToken = '你保存的刷新令牌';
$token = $provider->getAccessToken('refresh_token', [
    'refresh_token' => $refreshToken
]);

// 连接Exchange IMAP服务器
$imapHost = '{outlook.office365.com:993/imap/ssl/authuser=你的Exchange邮箱/user=你的Exchange邮箱/auth=Bearer ' . $token->getToken() . '}INBOX';
$imapStream = imap_open($imapHost, '', '');

if ($imapStream) {
    $emails = imap_search($imapStream, 'ALL');
    if ($emails) {
        foreach ($emails as $emailNum) {
            $header = imap_headerinfo($imapStream, $emailNum);
            echo "邮件主题: {$header->subject}<br>";
        }
    }
    imap_close($imapStream);
} else {
    echo 'IMAP连接失败: ' . imap_last_error();
}

关于invalid_grant错误的额外说明

你之前的错误核心原因是身份提供商不匹配，用Google的OAuth库去请求Exchange的令牌，必然会被拒绝。除此之外，这个错误还有其他常见触发场景：