问题现象
在 Thunderbird 中添加 Outlook 邮箱时，流程看起来很矛盾：
Thunderbird 能正常跳转到 Microsoft 登录页面。
Microsoft 账号也发来了安全通知邮件，提示：
Thunderbird 已连接到 Microsoft 账户。
但是回到 Thunderbird 后，仍然提示：
1
2
| 身份验证出错。
无法登录到服务器。可能是配置、用户名或者密码错误。
|
也就是说，Microsoft 侧已经确认“授权成功”，但 Thunderbird 侧依旧无法通过 IMAP 登录邮箱。
这类问题最容易误判成密码错误、IMAP 没打开、服务器地址填错，但这次真正的问题并不在这些地方。
环境
本次环境如下：
1
2
3
4
5
6
| 系统：Windows
客户端：Mozilla Thunderbird 151.0.1
邮箱：Outlook.com
收件协议：IMAP
发件协议：SMTP
认证方式：OAuth2
|
Outlook 网页版中的设置已经确认打开：
1
| 设置 -> 邮件 -> 转发和 IMAP -> 允许设备和应用使用 IMAP
|
网络连通性也正常：
1
2
3
| Test-NetConnection outlook.office365.com -Port 993
Test-NetConnection smtp.office365.com -Port 587
Test-NetConnection login.microsoftonline.com -Port 443
|
结果均为 TcpOpen: True。
正确的服务器配置
Thunderbird 中 Outlook 邮箱的基础配置应该是：
IMAP 收件服务器
1
2
3
4
5
| 服务器：outlook.office365.com
端口：993
连接安全性：SSL/TLS
认证方式：OAuth2
用户名：完整 Outlook 邮箱地址
|
SMTP 发件服务器
1
2
3
4
5
| 服务器：smtp.office365.com
端口：587
连接安全性：STARTTLS
认证方式：OAuth2
用户名：完整 Outlook 邮箱地址
|
也可以见到有人使用：
但在 Thunderbird 的 OAuth2 场景下，smtp.office365.com 通常更稳。
排查过程
1. 排除 IMAP 开关问题
首先检查 Outlook 网页版：
确认：
这说明 Outlook 允许第三方客户端使用 IMAP。
2. 排除网络问题
本机测试端口：
1
2
3
| Test-NetConnection outlook.office365.com -Port 993
Test-NetConnection smtp.office365.com -Port 587
Test-NetConnection login.microsoftonline.com -Port 443
|
结果都能连通，所以不是网络、防火墙、代理导致的连接失败。
3. 排除密码问题
如果是普通密码错误，Microsoft 一般不会发来“新应用有权访问你的数据”的通知。
这次 Microsoft 已经明确发信说明 Thunderbird 连上了 Microsoft 账户，所以至少 OAuth 登录流程已经跑通。
因此问题不是“账号密码没通过”，而是：
1
| Microsoft 授权成功后，Thunderbird 拿到的 token 无法被 IMAP 服务接受。
|
4. 排除 Thunderbird 自动配置错误
Thunderbird 自动生成过一组错误配置：
1
2
| IMAP 端口：997
SMTP 主机：.outlook.com
|
这明显不对。
后来手动修正为：
1
2
| IMAP: outlook.office365.com:993 SSL/TLS OAuth2
SMTP: smtp.office365.com:587 STARTTLS OAuth2
|
但修完后仍然失败，说明服务器地址虽然必须正确，但还不是最终根因。
5. 清理旧授权缓存
Thunderbird 的 OAuth token 存在配置目录下的登录缓存中，例如：
1
2
| logins.json
cookies.sqlite
|
曾经失败过的 Microsoft OAuth 登录状态可能会被继续复用。
因此清理了 Microsoft 相关缓存：
1
2
3
4
| oauth://login.microsoftonline.com
login.microsoftonline.com
outlook.office.com
office365
|
清理后重新授权，依旧失败。
这说明问题已经不是旧缓存，而是 Thunderbird 请求 OAuth 权限时的 scope 本身有问题。
真正原因：OAuth scope 过宽
OAuth2 不是简单的“登录成功就能访问所有东西”。
它的授权过程会带上一组权限范围，也就是 scope。
Thunderbird 请求 Microsoft 邮箱权限时，可能会带上类似这样的 scope：
1
2
3
4
| https://outlook.office.com/IMAP.AccessAsUser.All
https://outlook.office.com/POP.AccessAsUser.All
https://outlook.office.com/SMTP.Send
offline_access
|
这里的问题是：
虽然用户实际使用的是 IMAP，但 Thunderbird 可能把 POP 权限也一起请求了。
Outlook.com 最近对第三方客户端 OAuth scope 比较敏感，于是出现了这种割裂现象：
1
2
3
| Microsoft 账号层面：授权成功
Outlook IMAP 服务层面：token 不被接受
Thunderbird 表现：身份验证失败
|
也就是说，失败不是因为“没有授权”，而是因为“授权 token 的权限组合不合适”。
最终修复
最终修复方式是给 Thunderbird 的 Outlook 账号显式指定 OAuth scope，只请求真正需要的权限。
正确 scope：
1
2
3
| https://outlook.office.com/IMAP.AccessAsUser.All
https://outlook.office.com/SMTP.Send
offline_access
|
不要带：
1
| https://outlook.office.com/POP.AccessAsUser.All
|
对应到 Thunderbird 的 prefs.js，关键配置类似这样：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
| user_pref("mail.server.server12.authMethod", 10);
user_pref("mail.server.server12.hostname", "outlook.office365.com");
user_pref("mail.server.server12.port", 993);
user_pref("mail.server.server12.socketType", 3);
user_pref("mail.server.server12.type", "imap");
user_pref("mail.server.server12.userName", "your-name@outlook.com");
user_pref("mail.server.server12.oauth2.scope", "https://outlook.office.com/IMAP.AccessAsUser.All https://outlook.office.com/SMTP.Send offline_access");
user_pref("mail.smtpserver.smtp4.authMethod", 10);
user_pref("mail.smtpserver.smtp4.hostname", "smtp.office365.com");
user_pref("mail.smtpserver.smtp4.port", 587);
user_pref("mail.smtpserver.smtp4.try_ssl", 2);
user_pref("mail.smtpserver.smtp4.username", "your-name@outlook.com");
user_pref("mail.smtpserver.smtp4.oauth2.scope", "https://outlook.office.com/IMAP.AccessAsUser.All https://outlook.office.com/SMTP.Send offline_access");
|
其中：
表示 OAuth2。
表示 SSL/TLS。
表示 STARTTLS。
修复后的操作顺序
推荐顺序如下：
1. 关闭 Thunderbird
确保 Thunderbird 没有后台进程。
1
| Get-Process -Name thunderbird -ErrorAction SilentlyContinue | Stop-Process -Force
|
2. 备份配置
配置文件一般在：
1
| C:\Users\<用户名>\AppData\Roaming\Thunderbird\Profiles\<profile>\prefs.js
|
先备份：
1
| Copy-Item prefs.js prefs-before-outlook-fix.js
|
3. 修正服务器配置
确保 IMAP 和 SMTP 都是 OAuth2。
4. 写入最小 OAuth scope
只保留：
1
2
3
| IMAP.AccessAsUser.All
SMTP.Send
offline_access
|
5. 清理 Microsoft 旧 token
删除 Thunderbird 中 Microsoft 相关登录缓存，让它重新授权。
缓存通常位于：
1
2
| logins.json
cookies.sqlite
|
注意：如果还有 Gmail、QQ 邮箱，不要粗暴删除全部密码记录，否则其它邮箱也要重新登录。
6. 重启 Thunderbird
重新触发 Microsoft 登录授权。
授权完成后，IMAP 就可以正常同步 Outlook 邮箱。
为什么 Outlook 网页端开了 IMAP 仍然失败
Outlook 网页端的 IMAP 开关只表示：
但 OAuth2 还多了一层：
1
| 客户端拿到的 token 是否拥有正确的权限范围
|
这两个条件都要满足：
1
2
| IMAP 开关打开
OAuth token scope 正确
|
只满足第一个不够。
这就是为什么网页端明明开了 IMAP，Microsoft 也发了授权成功邮件，但 Thunderbird 还是失败。
经验总结
这次问题的判断关键是：
1
| Microsoft 已发授权成功邮件，但 Thunderbird 仍认证失败。
|
这说明问题不在密码，也不在普通连接配置，而在 OAuth token 的使用阶段。
最终结论：
1
| Thunderbird 添加 Outlook 邮箱时，如果授权成功但 IMAP 登录失败，可以检查 OAuth scope 是否包含 POP 权限。
|
最稳的 scope 是：
1
2
3
| https://outlook.office.com/IMAP.AccessAsUser.All
https://outlook.office.com/SMTP.Send
offline_access
|
简单说：
1
| 只申请要用的权限，不要让 Thunderbird 顺手申请 POP。
|
权限越干净，Outlook 越容易接受。
最终配置速查
收件
1
2
3
4
5
| 协议：IMAP
服务器：outlook.office365.com
端口：993
安全性：SSL/TLS
认证：OAuth2
|
发件
1
2
3
4
5
| 协议：SMTP
服务器：smtp.office365.com
端口：587
安全性：STARTTLS
认证：OAuth2
|
OAuth scope
1
| https://outlook.office.com/IMAP.AccessAsUser.All https://outlook.office.com/SMTP.Send offline_access
|
结论
这类问题表面上是“身份验证失败”，实际上是 OAuth 授权细节问题。
Thunderbird 能弹出 Microsoft 登录窗口、Microsoft 能发授权成功邮件，只能说明第一阶段登录成功；真正收信时，Outlook IMAP 服务还会检查 token 的权限范围。
当 Thunderbird 请求了多余的 POP 权限后，Outlook 可能会接受授权，但拒绝后续 IMAP 登录。
最终通过精简 OAuth scope，让 token 只包含 IMAP、SMTP 和离线访问权限，问题解决。