做网站或者小程序开发的人迟早会遇到一个需求让系统自动给用户发邮件。注册激活、验证码登录、密码找回、风控通知后台总得有个能自动发信的通道。我见过很多新手第一反应是拿自己的QQ邮箱去发结果卡在“授权码”这一步——明明邮箱密码是对的程序里却一直报认证失败。这篇就把QQ邮箱授权码这件事从头到尾讲透包括它是怎么一回事、怎么获取、拿到之后怎么用它代发邮件验证码以及那些你百度不到、只能自己踩坑踩出来的细节。我自己的项目里用户注册、找回密码、管理员告警通知全是走QQ邮箱SMTP这条通道。折腾了这么久踩过的坑也不少明明授权码没错但是发不出去、同一个账号发多了直接被冻结、验证码邮件进垃圾箱……这些坑如果不提前预防上线那天一定会炸。下面把这些经验全部整理出来希望对你有用。1. 授权码到底是个什么东西为什么不能直接用密码发信1.1 授权码的本质给第三方程序单独配一把专用钥匙QQ邮箱的授权码本质上是一串16位左右的字母数字组合专门给SMTP、IMAP、POP3这类第三方协议做身份认证用的。你可以把它理解成你家的门锁有“主人指纹”和“访客密码”两种验证方式——邮箱登录密码是主人指纹能进家门还能改设置授权码是访客密码只允许完成指定的收发信操作干不了别的。日常登录QQ邮箱网页版用的是QQ密码。但如果你在代码或者第三方客户端里直接填QQ密码发信QQ邮箱的安全系统会直接拒绝。原因很简单一旦你把QQ密码写在某个网站的配置里就相当于把整把家门钥匙交给别人对方不仅能发信还能改密码、看所有邮件、操作账号的一切。而授权码是独立生成的作用范围被限制在邮件收发就算泄露了也只在邮件协议这一层生效风险范围可控得多。1.2 为什么代码里不能用QQ密码直接过SMTP认证很多人第一次用Python或Node.js写发邮件脚本时会想当然地把QQ密码填进smtplib的login()函数。结果通常是收到一个SMTPAuthenticationError提示用户名或密码错误。这不是代码问题是QQ邮箱的服务端主动拦截。QQ邮箱的SMTP服务器smtp.qq.com要求第三方客户端必须使用授权码完成认证。如果检测到用明文密码登录直接拒绝。这个策略不是QQ独有的微软邮箱outlook/hotmail、网易163邮箱、Gmail都有类似的独立密码机制。只不过QQ邮箱用“授权码”这个叫法微软叫“应用密码”Google叫“App Password”名字不同原理一脉相承。从技术角度说SMTP认证本质上需要的是一个“有发信权限的账号凭证”。QQ密码虽然在系统内部也是这个凭证但邮箱服务商不敢让你把密码到处填所以设计了一张“授权码”作为代理凭证。这张代理凭证可以随时撤销、重新生成不影响原密码这是它最大的价值所在。1.3 别和“Axure授权码”“WPS授权码”混为一谈最近搜“授权码”这三个字出来的结果一大半是Axure、PyCharm、WPS、串口调试助手之类的软件激活码。这些所谓的“授权码”是软件许可密钥用来解锁功能或者注册正版跟邮箱授权码完全是两码事。QQ邮箱授权码解决的是“身份认证”问题软件授权码解决的是“使用权限”问题。如果你在搜索资料时看到“Axure 11授权码”“PyCharm 2026.2授权码”之类的词别点进去浪费时间那些和你要做的事没有任何关系。我还是建议直接从QQ邮箱官方设置入口拿授权码任何“代生成”“秒过验证”的第三方渠道都别碰我这个建议的理由后面会详细说。2. 手把手获取QQ邮箱授权码每一步都别跳2.1 开始前的准备工作获取授权码不需要什么特殊环境你用手机或者电脑浏览器都行。但有几样东西你得提前备好一个能正常登录的QQ邮箱账号如果是新注册的QQ邮箱可能还没激活先进mail.qq.com激活一下。一个能接收短信或者能使用QQ安全中心验证的手机后面要过密保验证。如果你开启了QQ邮箱的独立密码也要准备好。另外提醒一句最好是账号本人的手机操作。因为整个流程里有一个“发短信验证”的环节很多时候还需要扫描二维码确认代操作会很麻烦这也是安全问题。2.2 核心步骤设置、账户、开启SMTP服务、生成授权码整个获取流程按下面这个顺序走就不会乱登录QQ邮箱网页版mail.qq.com进入首页右上角的“设置”在下拉菜单里点“账户”页签。往下翻找到“POP3/IMAP/SMTP/Exchange/CardDAV/CalDAV服务”这一栏。在“SMTP服务”这一行点击“开启”。注意建议同时把“IMAP/SMTP服务”一起打开。IMAP管收信SMTP管发信后面做验证码发送和读取都需要。点击后弹出一个提示框告诉你开启服务后需要验证密保。点“继续”进入验证环节。验证方式一般是两种短信验证或者QQ安全中心扫码。按提示操作验证通过后页面上会直接生成一串授权码。生成的授权码长这个样子示意不是真实可用数据类似abcdefghijklmnop这里重点来了授权码只在生成的那一刻完整显示页面不会二次展示。如果你没复制就关了页面只能重新生成。所以生成之后最好立刻存到密码管理器里或者至少复制到本地的临时文件里。2.3 一个很容易踩的坑验证码短信可能被系统拦截我第一次获取授权码的时候卡在短信验证这一步整整十分钟——明明点了“发送短信”手机却一直收不到。后来发现是运营商把QQ邮箱的验证短信当成了营销信息拦截到垃圾短信里了。如果你也遇到类似情况先去短信的“拦截记录”或者“垃圾短信”里翻一翻大概率就在那里。另一个注意点这种短信验证码通常5分钟内有效超时要重新获取。而且同一个账号短时间内反复验证可能会触发风控让你等几分钟再试。所以操作节奏别太快一步步来别急着点。还有个很多人不知道的细节如果你开启了QQ邮箱的“登录保护”在开启SMTP服务时还可能需要额外验证一次身份这也是正常的别以为是系统故障。3. 拿到授权码之后真正用代码代发邮件验证码3.1 SMTP、IMAP、POP3到底是干嘛的很多初学者分不清这几个协议结果在配置里一通乱填。简单拆开讲SMTPSimple Mail Transfer Protocol管“发送”。程序通过SMTP服务器把邮件投递出去需要认证身份。IMAPInternet Message Access Protocol管“接收和管理”。程序连接IMAP服务器后可以读取、删除、移动服务器上的邮件。它更适合多设备同步场景。POP3Post Office Protocol - Version 3也管“接收”但它是下载模式把邮件下载到本地后服务器上的原件通常会删除也有保留模式多设备之间不同步。QQ邮箱的服务器地址分别是SMTPsmtp.qq.com端口465SSL或587STARTTLSIMAPimap.qq.com端口993SSLPOP3pop.qq.com端口995SSL你看热搜里有个“php-imap库只能获取qq邮箱邮件不能获取163邮箱邮件”这个问题的根源就是协议和服务器的配置差异。如果你用PHP的imap扩展去连163邮箱要注意163的IMAP服务器地址是imap.163.com而且也要在163邮箱后台开启IMAP服务并获取独立授权码。如果你用QQ邮箱的服务器地址去连163那当然连不上报错很正常。方案本身没问题问题出在“用错了库的配置对象”。3.2 Python发信实操验证码邮件从0到1下面给一套Python的实现用的是标准库smtplib和email不需要额外安装第三方包复制就能跑。import smtplib import os from email.mime.multipart import MIMEMultipart from email.mime.text import MIMEText # 邮箱配置 SMTP_SERVER smtp.qq.com SMTP_PORT 465 # SSL端口 SMTP_USER your_nameqq.com SMTP_AUTH_CODE 这里填你生成的授权码 # 收件人信息 TO_EMAIL receiverexample.com SUBJECT 您的验证码 CODE 482913 # 构建邮件内容 msg MIMEMultipart(alternative) msg[From] SMTP_USER msg[To] TO_EMAIL msg[Subject] SUBJECT html_content f html body p您好/p p您的验证码是strong stylefont-size: 24px; color: #333;{CODE}/strong/p p该验证码10分钟内有效请勿泄露给他人。/p /body /html msg.attach(MIMEText(html_content, html, utf-8)) try: # 用SSL连接腾讯的SMTP服务器 server smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) # 登录时用的是授权码不是QQ密码 server.login(SMTP_USER, SMTP_AUTH_CODE) server.sendmail(SMTP_USER, [TO_EMAIL], msg.as_string()) print(邮件发送成功) except Exception as err: print(f发送失败: {err}) finally: server.quit()这段代码看起来简单但有几个细节容易被忽略单独说一下SMTP_SSL和SMTP_PORT465是一对端口不能改。如果非要试587要用smtplib.SMTP配合starttls()去升级加密通道逻辑稍有不同。From、To、Subject这些邮件头里尽量不要有非ASCII字符。但Subject如果写了中文最好做一下编码处理。更省事的做法是直接用email.header.Header设置。现代Python的email库也支持直接用中文但最好明确指定字符集兼容性更好。建议加上msg[Subject] Header(您的验证码, utf-8)的方式。sendmail的第二个参数是一个列表list不是字符串。即便只有一个收件人也得写[TO_EMAIL]。3.3 验证码的生成与存储别用随机数硬凑发邮件的核心是发什么——验证码本身。验证码的生成和校验如果做得不严谨会直接影响业务安全。生成验证码时建议用足够安全的随机源。Python里random.randint虽然够用但secrets模块更安全因为它基于操作系统提供的加密级随机数防猜测能力更强。import secrets code str(secrets.randbelow(1000000)).zfill(6) # 生成6位数字验证码注意.zfill(6)是为了保证位数不足6位时在前面补0比如生成的是48291自动变成048291避免用户遇到“验证码只有5位”的困惑。验证码存储方面最规范的做法是放到Redis或者类似带过期时间的存储里键名建议用业务唯一ID比如邮箱地址、手机号、用户ID拼接一个场景前缀import redis r redis.Redis(hostlocalhost, port6379, db0) key fverify:register:{TO_EMAIL} r.setex(key, 600, code) # 10分钟过期校验的时候从Redis取出值和用户提交的验证码比对。注意比对完成后无论成败立刻删除这个key防止暴力重试。如果你的系统没有Redis用数据库存也可以但一定要设置“过期时间”字段并在校验时判断是否超时。关于有效期我习惯设置为10分钟。太短用户来不及收信太长安全性下降更容易被滥用。超过有效期就需要重新点击发送这也是常见交互设计。3.4 发信频率控制否则账号会被冻结这个坑我印象太深刻了。有一次测试环境里写了个死循环一分钟内用同一个QQ邮箱发了上百封邮件。没过多久QQ邮箱直接把登录状态踢了SMTP接口返回“账号被限制发送”的错误。后来我通过网页端申诉才解开。所以你在接入验证码发送功能时一定要在前端后端都做频率控制同一邮箱地址60秒内只能发送一次验证码。同一IP地址一小时内的发送次数限制在10次以内。同一账号SMTP发件账号一天的总发送量控制在100封以内比较稳妥具体以QQ邮箱服务端策略为准。代码层面可以用上面提到的Redis来计数。每次发送之前先判断flag_key fverify:flag:{TO_EMAIL} if r.exists(flag_key): # 60秒内已经发过 raise Exception(操作太频繁请稍后再试) r.setex(flag_key, 60, 1)这个设计说白了就是给每个用户加一个冷却时间。别小看这一步不加这个限制你的邮件账号活不过一周。4. 常见问题与排查技巧实录下面这张表是我实际操作中最常碰到的几类问题以及对症下药的排查方法。如果你是第一次搞邮件发送建议截图保存。报错或现象常见原因排查思路SMTPAuthenticationError提示用户名或密码错误授权码填错或填成了QQ密码重新生成授权码注意复制时别带空格535 Errorauthentication failedSMTP账号和授权码不匹配确认发件邮箱和授权码是同一个账号下生成的554 DT:SPM发件被拒发送内容被判定为垃圾邮件降低发信频率尽量用纯文本规范的HTML模板别用大量营销词553 Mailbox not found收件人地址不存在或拼写错误检查收件人邮箱格式测试时用真实邮箱SMTPServerDisconnected服务器主动断开连接检查端口是否正确是否被防火墙拦截QQ邮箱要求SSL连接邮件一直进垃圾箱域名信誉不高、内容带链接或附件尽量用官方邮箱域名发信文本别太广告化验证码邮件尽量不嵌外链发信成功后收件人长时间收不到邮件被服务商延时或收件方垃圾箱拦截测试时检查垃圾箱用多个邮箱交叉测试账号被临时冻结频繁发信或被人盗用登录网页版QQ邮箱申诉降低发信频率及时更新授权码4.1 授权码明明没错为什么还是认证失败通常原因有三个授权码里的字符被复制丢了几位或者多了个空格Smtp服务器端口选错账号忘了加qq.com后缀。逐个排查即可。如果是复制粘贴导致的建议手敲关键字符重新试一次尤其注意结尾有没有小写字母o和数字0混淆的情况。4.2 验证码邮件被当垃圾邮件过滤怎么降低概率QQ邮箱发出的邮件进入收件箱还是垃圾箱受QQ邮箱服务商信誉影响较大但发信方也能做些事来改善邮件标题别用“验证码”这种单独一个词的标题建议加一些业务标识比如“【XX平台】您的验证码是xxxx”。邮件正文不要带太密集的链接和图片尤其不要有短链接。不要一次性给大量用户群发蹭热点式的批量发送最容易触发风控。邮件里写明“如非本人操作请忽略”之类的提示更像真实业务邮件以减少被过滤器误杀的概率。4.3 授权码多久会失效QQ邮箱授权码不会因为时间推移自动失效但以下几种情况会导致它失效你主动在设置里关闭了SMTP服务或者重新生成了新授权码旧码立刻作废。修改了QQ密码部分情况下授权码会跟着失效以官方实际行为为准我遇到的是修改密码后授权码仍然有效但安全起见建议改完密码后重新生成一次。账号因为异地登录、被盗风险被风控服务端可能冻结第三方应用的授权码需要重新验证身份。所以生产环境的配置里一定要把授权码做成可配置项不要硬编码在代码里。我习惯把它放在环境变量或者配置中心比如.env文件里。SMTP_AUTH_CODE你的授权码这样即使授权码失效改完配置重启服务就行不需要重新部署代码。5. 授权码在更多场景里的用法第三方客户端和导入导出5.1 在手机和桌面客户端里配置QQ邮箱不只是代码里用日常你会把QQ邮箱绑定到Foxmail、Outlook、手机自带的邮件App里。这些场景下填的也不是QQ密码而是授权码。配置方式和上面SMTP一致服务器地址填smtp.qq.com密码位置填授权码。如果你想把Gmail里的历史邮件导入到QQ邮箱QQ邮箱的“其他邮箱账户”功能会要求你填Gmail的IMAP账号密码。如果你开启过Google的两步验证这里需要用的是Gmail的“应用专用密码”原理和QQ邮箱授权码一样。反过来你也不能把QQ密码填到Gmail那边去要使用QQ邮箱生成的授权码。5.2 小程序场景邮箱绑定和解绑里的验证信很多小程序为了让用户找回账号会绑定邮箱。绑定或解绑的时候需要给邮箱发一封验证邮件点击确认链接或者填验证码才能完成。这类邮件从后台发出用的就是SMTP授权码。有一点要特别注意小程序的邮箱验证邮件主题和发件人名字会直接影响用户的信任度。如果你用QQ邮箱发送默认的发件人名字会显示你的QQ昵称建议在msg[From]里显式设置成平台名称比如“XX平台客服”同时保留实际的发件邮箱地址这样比较正式msg[From] fXX平台 {SMTP_USER}别小看这个设置我见过有项目不设置这个用户收到邮件后看到发件人是个奇奇怪怪的昵称差点当成钓鱼邮件给举报了。5.3 验证码之外告警通知和定时报告授权码的用途不局限在验证码。服务器监控告警、订单通知、每日数据报表这些都可以通过SMTP自动发送。我的做法是封装一个统一的发信函数业务方只需要传入收件人、标题、HTML正文底层自动完成SMTP连接和发送def send_email(to_list, subject, html_body): msg MIMEMultipart(alternative) msg[From] f平台通知 {SMTP_USER} msg[To] , .join(to_list) msg[Subject] Header(subject, utf-8) msg.attach(MIMEText(html_body, html, utf-8)) server smtplib.SMTP_SSL(SMTP_SERVER, SMTP_PORT) server.login(SMTP_USER, SMTP_AUTH_CODE) server.sendmail(SMTP_USER, to_list, msg.as_string()) server.quit()这样业务代码只关心“发什么”不用关心“怎么发”。后面就算要换发件服务商只需要改这一个函数不用全局搜索替换代码。6. 写在最后授权码要当成密码保护我再强调一次授权码虽然不是QQ密码但它同样具备发送邮件、读取邮件的权限泄露了也能被用来发垃圾邮件、盗取邮件内容。所以务必按密码的安全等级去保护它。不要贴到公开代码仓库、不要放到前端代码里、不要发给任何第三方工具。如果你在配置过程中遇到“为什么我的代码没问题但是发不出去”这类情况我建议先做一个最小化测试单独写一个不超过20行的脚本只用一个收件人只发纯文本内容先跑通再说。大多数发信问题都能在这一步暴露出来很多所谓的“诡异报错”最后都指向配置不对或者授权码复制错。等最小化测试通过了再逐步加HTML模板、加频率控制、加多收件人这样排查起来会顺利很多。我这里给出的步骤和代码都是可复现的照着配置一遍跑通一次以后遇到任何平台需要发邮件验证码你就知道授权码这个东西该怎么用了。