做网站或者小程序开发的人，迟早会遇到一个需求：让系统自动给用户发邮件。注册激活、验证码登录、密码找回、风控通知，后台总得有个能自动发信的通道。我见过很多新手第一反应是拿自己的QQ邮箱去发，结果卡在“授权码”这一步——明明邮箱密码是对的，程序里却一直报认证失败。这篇就把QQ邮箱授权码这件事从头到尾讲透，包括它是怎么一回事、怎么获取、拿到之后怎么用它代发邮件验证码，以及那些你百度不到、只能自己踩坑踩出来的细节。
我自己的项目里，用户注册、找回密码、管理员告警通知，全是走QQ邮箱SMTP这条通道。折腾了这么久，踩过的坑也不少：明明授权码没错但是发不出去、同一个账号发多了直接被冻结、验证码邮件进垃圾箱……这些坑如果不提前预防，上线那天一定会炸。下面把这些经验全部整理出来，希望对你有用。
1. 授权码到底是个什么东西，为什么不能直接用密码发信
1.1 授权码的本质：给第三方程序单独配一把专用钥匙
QQ邮箱的授权码，本质上是一串16位左右的字母数字组合，专门给SMTP、IMAP、POP3这类第三方协议做身份认证用的。你可以把它理解成：你家的门锁有“主人指纹”和“访客密码”两种验证方式——邮箱登录密码是主人指纹，能进家门还能改设置；授权码是访客密码，只允许完成指定的收发信操作，干不了别的。
日常登录QQ邮箱网页版，用的是QQ密码。但如果你在代码或者第三方客户端里直接填QQ密码发信，QQ邮箱的安全系统会直接拒绝。原因很简单：一旦你把QQ密码写在某个网站的配置里，就相当于把整把家门钥匙交给别人，对方不仅能发信，还能改密码、看所有邮件、操作账号的一切。而授权码是独立生成的，作用范围被限制在邮件收发，就算泄露了，也只在邮件协议这一层生效，风险范围可控得多。
1.2 为什么代码里不能用QQ密码直接过SMTP认证
很多人第一次用Python或Node.js写发邮件脚本时，会想当然地把QQ密码填进smtplib的login()函数。结果通常是收到一个SMTPAuthenticationError，提示用户名或密码错误。这不是代码问题，是QQ邮箱的服务端主动拦截。
QQ邮箱的SMTP服务器（smtp.qq.com）要求第三方客户端必须使用授权码完成认证。如果检测到用明文密码登录，直接拒绝。这个策略不是QQ独有的，微软邮箱（outlook/hotmail）、网易163邮箱、Gmail都有类似的独立密码机制。只不过QQ邮箱用“授权码”这个叫法，微软叫“应用密码”，Google叫“App Password”，名字不同，原理一脉相承。
从技术角度说，SMTP认证本质上需要的是一个“有发信权限的账号凭证”。QQ密码虽然在系统内部也是这个凭证，但邮箱服务商不敢让你把密码到处填，所以设计了一张“授权码”作为代理凭证。这张代理凭证可以随时撤销、重新生成，不影响原密码，这是它最大的价值所在。
1.3 别和“Axure授权码”“WPS授权码”混为一谈
最近搜“授权码”这三个字，出来的结果一大半是Axure、PyCharm、WPS、串口调试助手之类的软件激活码。这些所谓的“授权码”是软件许可密钥，用来解锁功能或者注册正版，跟邮箱授权码完全是两码事。
QQ邮箱授权码解决的是“身份认证”问题，软件授权码解决的是“使用权限”问题。如果你在搜索资料时看到“Axure 11授权码”“PyCharm 2026.2授权码”之类的词，别点进去浪费时间，那些和你要做的事没有任何关系。我还是建议直接从QQ邮箱官方设置入口拿授权码，任何“代生成”“秒过验证”的第三方渠道都别碰，我这个建议的理由后面会详细说。
2. 手把手获取QQ邮箱授权码，每一步都别跳
2.1 开始前的准备工作
获取授权码不需要什么特殊环境，你用手机或者电脑浏览器都行。但有几样东西你得提前备好：
- 一个能正常登录的QQ邮箱账号（如果是新注册的QQ，邮箱可能还没激活，先进mail.qq.com激活一下）。
- 一个能接收短信或者能使用QQ安全中心验证的手机（后面要过密保验证）。
- 如果你开启了QQ邮箱的独立密码，也要准备好。
另外提醒一句：最好是账号本人的手机操作。因为整个流程里有一个“发短信验证”的环节，很多时候还需要扫描二维码确认，代操作会很麻烦，这也是安全问题。
2.2 核心步骤：设置、账户、开启SMTP服务、生成授权码
整个获取流程，按下面这个顺序走就不会乱：
- 登录QQ邮箱网页版（mail.qq.com），进入首页右上角的“设置”，在下拉菜单里点“账户”页签。
- 往下翻，找到“POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务”这一栏。
- 在“SMTP服务”这一行，点击“开启”。注意，建议同时把“IMAP/SMTP服务”一起打开。IMAP管收信，SMTP管发信，后面做验证码发送和读取都需要。
- 点击后弹出一个提示框，告诉你开启服务后需要验证密保。点“继续”进入验证环节。
- 验证方式一般是两种：短信验证，或者QQ安全中心扫码。按提示操作，验证通过后，页面上会直接生成一串授权码。
生成的授权码长这个样子（示意，不是真实可用数据）：
- 类似
abcdefghijklmnop
这里重点来了：授权码只在生成的那一刻完整显示，页面不会二次展示。如果你没复制就关了页面，只能重新生成。所以生成之后，最好立刻存到密码管理器里，或者至少复制到本地的临时文件里。
2.3 一个很容易踩的坑：验证码短信可能被系统拦截
我第一次获取授权码的时候，卡在短信验证这一步整整十分钟——明明点了“发送短信”，手机却一直收不到。后来发现，是运营商把QQ邮箱的验证短信当成了营销信息，拦截到垃圾短信里了。如果你也遇到类似情况，先去短信的“拦截记录”或者“垃圾短信”里翻一翻，大概率就在那里。
另一个注意点：这种短信验证码通常5分钟内有效，超时要重新获取。而且同一个账号短时间内反复验证，可能会触发风控，让你等几分钟再试。所以操作节奏别太快，一步步来，别急着点。
还有个很多人不知道的细节：如果你开启了QQ邮箱的“登录保护”，在开启SMTP服务时还可能需要额外验证一次身份，这也是正常的，别以为是系统故障。
3. 拿到授权码之后：真正用代码代发邮件验证码
3.1 SMTP、IMAP、POP3到底是干嘛的
很多初学者分不清这几个协议，结果在配置里一通乱填。简单拆开讲：
- SMTP（Simple Mail Transfer Protocol）管“发送”。程序通过SMTP服务器把邮件投递出去，需要认证身份。
- IMAP（Internet Message Access Protocol）管“接收和管理”。程序连接IMAP服务器后，可以读取、删除、移动服务器上的邮件。它更适合多设备同步场景。
- POP3（Post Office Protocol - Version 3）也管“接收”，但它是下载模式，把邮件下载到本地后服务器上的原件通常会删除（也有保留模式），多设备之间不同步。
QQ邮箱的服务器地址分别是：
- SMTP：smtp.qq.com，端口465（SSL）或587（STARTTLS）
- IMAP：imap.qq.com，端口993（SSL）
- POP3：pop.qq.com，端口995（SSL）
你看热搜里有个“php-imap库只能获取qq邮箱邮件不能获取163邮箱邮件”，这个问题的根源就是协议和服务器的配置差异。如果你用PHP的imap扩展去连163邮箱，要注意163的IMAP服务器地址是imap.163.com，而且也要在163邮箱后台开启IMAP服务并获取独立授权码。如果你用QQ邮箱的服务器地址去连163，那当然连不上，报错很正常。方案本身没问题，问题出在“用错了库的配置对象”。
3.2 Python发信实操：验证码邮件从0到1
下面给一套Python的实现，用的是标准库smtplib和email，不需要额外安装第三方包，复制就能跑。
import smtplib import os from email.mime.multipart import MIMEMultipart from email.mime.text import MIMEText # 邮箱配置 SMTP_SERVER = "smtp.qq.com" SMTP_PORT = 465 # SSL端口 SMTP_USER = "your_name@qq.com" SMTP_AUTH_CODE = "这里填你生成的授权码" # 收件人信息 TO_EMAIL = "receiver@example.com" SUBJECT = "您的验证码" CODE = "482913" # 构建邮件内容 msg = MIMEMultipart("alternative") msg["From"] = SMTP_USER msg["To"] = TO_EMAIL msg["Subject"] = SUBJECT html_content = f""" <html> <body> <p>您好！</p> <p>您的验证码是：<strong style="font-size: 24px; color: #333;">{CODE}</strong></p> <p>该验证码10分钟内有效，请勿泄露给他人。</p> </body> </html> """ msg.attach(MIMEText(html_content, "html", "utf-8")) try: # 用SSL连接腾讯的SMTP服务器 server = smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) # 登录时用的是授权码，不是QQ密码 server.login(SMTP_USER, SMTP_AUTH_CODE) server.sendmail(SMTP_USER, [TO_EMAIL], msg.as_string()) print("邮件发送成功") except Exception as err: print(f"发送失败: {err}") finally: server.quit()这段代码看起来简单，但有几个细节容易被忽略，单独说一下：
SMTP_SSL和SMTP_PORT=465是一对，端口不能改。如果非要试587，要用smtplib.SMTP配合starttls()去升级加密通道，逻辑稍有不同。From、To、Subject这些邮件头里尽量不要有非ASCII字符。但Subject如果写了中文，最好做一下编码处理。更省事的做法是直接用email.header.Header设置。现代Python的email库也支持直接用中文，但最好明确指定字符集，兼容性更好。建议加上msg["Subject"] = Header("您的验证码", "utf-8")的方式。sendmail的第二个参数是一个列表（list），不是字符串。即便只有一个收件人也得写[TO_EMAIL]。
3.3 验证码的生成与存储，别用随机数硬凑
发邮件的核心是发什么——验证码本身。验证码的生成和校验如果做得不严谨，会直接影响业务安全。
生成验证码时，建议用足够安全的随机源。Python里random.randint虽然够用，但secrets模块更安全，因为它基于操作系统提供的加密级随机数，防猜测能力更强。
import secrets code = str(secrets.randbelow(1000000)).zfill(6) # 生成6位数字验证码注意.zfill(6)是为了保证位数不足6位时在前面补0，比如生成的是48291，自动变成048291，避免用户遇到“验证码只有5位”的困惑。
验证码存储方面，最规范的做法是放到Redis或者类似带过期时间的存储里，键名建议用业务唯一ID（比如邮箱地址、手机号、用户ID）拼接一个场景前缀：
import redis r = redis.Redis(host="localhost", port=6379, db=0) key = f"verify:register:{TO_EMAIL}" r.setex(key, 600, code) # 10分钟过期校验的时候，从Redis取出值，和用户提交的验证码比对。注意比对完成后，无论成败，立刻删除这个key，防止暴力重试。如果你的系统没有Redis，用数据库存也可以，但一定要设置“过期时间”字段，并在校验时判断是否超时。
关于有效期，我习惯设置为10分钟。太短用户来不及收信，太长安全性下降，更容易被滥用。超过有效期就需要重新点击发送，这也是常见交互设计。
3.4 发信频率控制，否则账号会被冻结
这个坑我印象太深刻了。有一次测试环境里写了个死循环，一分钟内用同一个QQ邮箱发了上百封邮件。没过多久QQ邮箱直接把登录状态踢了，SMTP接口返回“账号被限制发送”的错误。后来我通过网页端申诉才解开。
所以你在接入验证码发送功能时，一定要在前端后端都做频率控制：
- 同一邮箱地址，60秒内只能发送一次验证码。
- 同一IP地址，一小时内的发送次数限制在10次以内。
- 同一账号（SMTP发件账号），一天的总发送量控制在100封以内比较稳妥（具体以QQ邮箱服务端策略为准）。
代码层面可以用上面提到的Redis来计数。每次发送之前先判断：
flag_key = f"verify:flag:{TO_EMAIL}" if r.exists(flag_key): # 60秒内已经发过 raise Exception("操作太频繁，请稍后再试") r.setex(flag_key, 60, 1)这个设计说白了就是给每个用户加一个冷却时间。别小看这一步，不加这个限制，你的邮件账号活不过一周。
4. 常见问题与排查技巧实录
下面这张表，是我实际操作中最常碰到的几类问题，以及对症下药的排查方法。如果你是第一次搞邮件发送，建议截图保存。
| 报错或现象 | 常见原因 | 排查思路 |
|---|---|---|
| SMTPAuthenticationError，提示用户名或密码错误 | 授权码填错，或填成了QQ密码 | 重新生成授权码，注意复制时别带空格 |
| 535 Error：authentication failed | SMTP账号和授权码不匹配 | 确认发件邮箱和授权码是同一个账号下生成的 |
| 554 DT:SPM，发件被拒 | 发送内容被判定为垃圾邮件 | 降低发信频率，尽量用纯文本+规范的HTML模板，别用大量营销词 |
| 553 Mailbox not found | 收件人地址不存在或拼写错误 | 检查收件人邮箱格式，测试时用真实邮箱 |
| SMTPServerDisconnected | 服务器主动断开连接 | 检查端口是否正确，是否被防火墙拦截，QQ邮箱要求SSL连接 |
| 邮件一直进垃圾箱 | 域名信誉不高、内容带链接或附件 | 尽量用官方邮箱域名发信，文本别太广告化，验证码邮件尽量不嵌外链 |
| 发信成功后收件人长时间收不到 | 邮件被服务商延时，或收件方垃圾箱拦截 | 测试时检查垃圾箱，用多个邮箱交叉测试 |
| 账号被临时冻结 | 频繁发信或被人盗用 | 登录网页版QQ邮箱申诉，降低发信频率，及时更新授权码 |
4.1 授权码明明没错，为什么还是认证失败
通常原因有三个：授权码里的字符被复制丢了几位，或者多了个空格；Smtp服务器端口选错；账号忘了加@qq.com后缀。逐个排查即可。如果是复制粘贴导致的，建议手敲关键字符重新试一次，尤其注意结尾有没有小写字母o和数字0混淆的情况。
4.2 验证码邮件被当垃圾邮件过滤，怎么降低概率
QQ邮箱发出的邮件，进入收件箱还是垃圾箱，受QQ邮箱服务商信誉影响较大，但发信方也能做些事来改善：
- 邮件标题别用“验证码”这种单独一个词的标题，建议加一些业务标识，比如“【XX平台】您的验证码是xxxx”。
- 邮件正文不要带太密集的链接和图片，尤其不要有短链接。
- 不要一次性给大量用户群发，蹭热点式的批量发送最容易触发风控。
- 邮件里写明“如非本人操作，请忽略”之类的提示，更像真实业务邮件，以减少被过滤器误杀的概率。
4.3 授权码多久会失效
QQ邮箱授权码不会因为时间推移自动失效，但以下几种情况会导致它失效：
- 你主动在设置里关闭了SMTP服务，或者重新生成了新授权码，旧码立刻作废。
- 修改了QQ密码，部分情况下授权码会跟着失效（以官方实际行为为准，我遇到的是修改密码后授权码仍然有效，但安全起见建议改完密码后重新生成一次）。
- 账号因为异地登录、被盗风险被风控，服务端可能冻结第三方应用的授权码，需要重新验证身份。
所以生产环境的配置里，一定要把授权码做成可配置项，不要硬编码在代码里。我习惯把它放在环境变量或者配置中心，比如.env文件里。
SMTP_AUTH_CODE=你的授权码这样即使授权码失效，改完配置重启服务就行，不需要重新部署代码。
5. 授权码在更多场景里的用法：第三方客户端和导入导出
5.1 在手机和桌面客户端里配置QQ邮箱
不只是代码里用，日常你会把QQ邮箱绑定到Foxmail、Outlook、手机自带的邮件App里。这些场景下填的也不是QQ密码，而是授权码。配置方式和上面SMTP一致，服务器地址填smtp.qq.com，密码位置填授权码。
如果你想把Gmail里的历史邮件导入到QQ邮箱，QQ邮箱的“其他邮箱账户”功能会要求你填Gmail的IMAP账号密码。如果你开启过Google的两步验证，这里需要用的是Gmail的“应用专用密码”，原理和QQ邮箱授权码一样。反过来，你也不能把QQ密码填到Gmail那边去，要使用QQ邮箱生成的授权码。
5.2 小程序场景：邮箱绑定和解绑里的验证信
很多小程序为了让用户找回账号，会绑定邮箱。绑定或解绑的时候需要给邮箱发一封验证邮件，点击确认链接或者填验证码才能完成。这类邮件从后台发出，用的就是SMTP+授权码。
有一点要特别注意：小程序的邮箱验证邮件，主题和发件人名字会直接影响用户的信任度。如果你用QQ邮箱发送，默认的发件人名字会显示你的QQ昵称，建议在msg["From"]里显式设置成平台名称，比如“XX平台客服”，同时保留实际的发件邮箱地址，这样比较正式：
msg["From"] = f"XX平台 <{SMTP_USER}>"别小看这个设置，我见过有项目不设置这个，用户收到邮件后看到发件人是个奇奇怪怪的昵称，差点当成钓鱼邮件给举报了。
5.3 验证码之外：告警通知和定时报告
授权码的用途不局限在验证码。服务器监控告警、订单通知、每日数据报表，这些都可以通过SMTP自动发送。我的做法是封装一个统一的发信函数，业务方只需要传入收件人、标题、HTML正文，底层自动完成SMTP连接和发送：
def send_email(to_list, subject, html_body): msg = MIMEMultipart("alternative") msg["From"] = f"平台通知 <{SMTP_USER}>" msg["To"] = ", ".join(to_list) msg["Subject"] = Header(subject, "utf-8") msg.attach(MIMEText(html_body, "html", "utf-8")) server = smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) server.login(SMTP_USER, SMTP_AUTH_CODE) server.sendmail(SMTP_USER, to_list, msg.as_string()) server.quit()这样，业务代码只关心“发什么”，不用关心“怎么发”。后面就算要换发件服务商，只需要改这一个函数，不用全局搜索替换代码。
6. 写在最后：授权码要当成密码保护
我再强调一次：授权码虽然不是QQ密码，但它同样具备发送邮件、读取邮件的权限，泄露了也能被用来发垃圾邮件、盗取邮件内容。所以务必按密码的安全等级去保护它。不要贴到公开代码仓库、不要放到前端代码里、不要发给任何第三方工具。
如果你在配置过程中遇到“为什么我的代码没问题但是发不出去”这类情况，我建议先做一个最小化测试：单独写一个不超过20行的脚本，只用一个收件人，只发纯文本内容，先跑通再说。大多数发信问题都能在这一步暴露出来，很多所谓的“诡异报错”最后都指向配置不对或者授权码复制错。
等最小化测试通过了，再逐步加HTML模板、加频率控制、加多收件人，这样排查起来会顺利很多。我这里给出的步骤和代码都是可复现的，照着配置一遍，跑通一次，以后遇到任何平台需要发邮件验证码，你就知道授权码这个东西该怎么用了。
