邮件系统长期以「账号+密码」通过 SMTP AUTH / IMAP 登录。但明文密码在客户端存储、传输与泄露环节都极其脆弱：一旦密码外泄，攻击者可长期冒充用户外发邮件。RFC 7628 将 OAuth 2.0 的 Bearer 令牌引入 SASL 认证框架，使邮件客户端用短期令牌而非密码登录，是零信任架构在邮件认证层的落地[1]。

明文密码认证的缺陷

密码认证至少有三类问题：客户端常持久化明文密码（被盗即沦陷）；密码无细粒度授权范围；无法被单独吊销而不影响其他服务。NIST SP 800-63B 明确要求以防钓鱼、可撤销的凭证替代共享秘密[4]。OAuth 2.0 的 access token 短生命周期、可限定 scope、可单独撤销，从机制上缓解这三类风险[2]。

RFC 7628 SASL OAUTHBEARER

RFC 7628 定义标准 SASL 机制 OAUTHBEARER，客户端在 SASL 初始响应中携带 Base64 编码的 Bearer 令牌与认证身份[1]。

C: AUTH OAUTHBEARER <base64("n,a=user@example.com,
     r=,auth=Bearer vF9dft4qmTc2Nvb3RlckBhz3M=<
     ,<">>
S: 235 2.7.0 Authentication successful

令牌由授权服务器签发，邮件服务器（资源服务器）用本地或远程 introspection 校验其签名、受众（aud）与有效期。失败时可返回 501 与 www-auth 提示，引导客户端刷新令牌[1]。

XOAUTH2 机制

Microsoft 与 Google 在 RFC 7628 之前采用了私有机制 XOAUTH2，格式略有不同：将用户名与令牌拼为 user=...\x01auth=Bearer ...\x01\x01 后 Base64[3]。

C: AUTH XOAUTH2 <base64("user=user@example.com\x01
     auth=Bearer vF9dft4qmTc2Nvb3RlckBhz3M=\x01\x01")>
S: 235 2.7.0 Authentication successful

现代邮件系统若需兼容主流公有邮箱或混合部署，应同时声明 OAUTHBEARER 与 XOAUTH2 两个 SASL 机制，优先协商标准机制。

与 SMTP AUTH / IMAP 的集成

在 Postfix 中通过 smtpd_sasl_mechanism_filter 暴露机制；Dovecot 作为 SASL 后端需启用 auth_mechanisms = oauthbearer xoauth2 并接入令牌校验器。前端提交端口（587/465）应强制 STARTTLS，令牌不在明文通道传输[5]。

# dovecot.conf
auth_mechanisms = plain login oauthbearer xoauth2
# 令牌校验需对接授权服务器 introspection 端点

令牌生命周期与零信任安全要点

• 短时效：access token 通常 1 小时，过期用 refresh token 静默续期，减少泄露窗口。
• scope 最小化：邮件令牌仅授予 imap/smtp.send 等必要范围，不携带账户管理权限。
• 可撤销：令牌吊销应即时生效，对应零信任「持续验证、随时撤回」原则（NIST SP 800-207）[5]。
• 不在客户端存密码：OAuth 登录后客户端仅持有令牌，密码从不离开授权服务器。