本文详解Gmail账户使用Python smtplib发送邮件时出现535-5.7.8 Username and Password not accepted认证失败的根本原因，并提供基于应用密码的安全配置方法、可运行代码示例及关键避坑指南。
本文详解gmail账户使用python `smtplib`发送邮件时出现`535-5.7.8 username and password not accepted`认证失败的根本原因，并提供基于应用密码的安全配置方法、可运行代码示例及关键避坑指南。
在使用Python通过Gmail SMTP发送OTP等关键邮件时，开发者常遇到看似“密码正确却持续报错535”的困境——如日志所示：(535, b'5.7.8 Username and Password not accepted...')。这并非网络或代码逻辑问题，而是Google账户安全策略的明确拒绝：自2022年5月30日起，Google已永久关闭“允许安全性较低的应用访问”（Less Secure Apps）功能，任何尝试用主密码直连SMTP的行为均会被gsmtp服务器无条件拦截。因此，“启用Less Secure Apps”这一过时方案不仅无效，更在当前（2026年）完全不可用。
✅ 正确且唯一推荐的解决方案是：为Gmail账户生成并使用16位应用专用密码（App Password）。该密码专用于第三方应用（如你的Python脚本），具备独立权限、可随时撤销，且不暴露主账户凭证，安全性远高于旧方案。
? 配置步骤（务必按顺序操作）
确保已开启两步验证（2-Step Verification）
访问 Google 账户安全页 → “登录Google的方式” → 开启“两步验证”。若未启用，系统将不允许生成应用密码。生成应用密码
在同一安全页面，点击“应用密码” → 选择应用为 “邮件”，设备为 “其他（自定义名称）”（例如输入Python-OTP-Sender）→ 点击“生成”。
⚠️ 系统将显示一个16位一次性密码（如abcd efgh ijkl mnop），请立即复制并安全保存——该密码仅显示一次，关闭页面后不可恢复。更新Python代码
将原PASSWORD配置值替换为上述16位应用密码（注意：去除空格，直接拼接为连续16字符字符串），并确保启用TLS加密连接：
import smtplib
from email.mime.text import MIMEText
from email.mime.multipart import MIMEMultipart
from api.config import PASSWORD, MAIL # PASSWORD now holds the 16-char App Password
def send_otp(email: str, otp: str) -> bool:
sender_email = MAIL
sender_password = PASSWORD # ✅ 使用App Password，非主密码
subject = "Your OTP Code"
body = f"Your OTP code is {otp}. It is valid for 10 minutes."
message = MIMEMultipart()
message["From"] = sender_email
message["To"] = email
message["Subject"] = subject
message.attach(MIMEText(body, "plain", "utf-8")) # 显式指定编码防乱码
try:
# ✅ 必须使用STARTTLS（端口587）或SMTP_SSL（端口465）
server = smtplib.SMTP("smtp.gmail.com", 587)
server.starttls() # 启用TLS加密层（关键！）
server.login(sender_email, sender_password)
server.sendmail(sender_email, [email], message.as_string()) # 注意：sendmail第二个参数需为列表
server.quit()
print("✅ OTP email sent successfully.")
return True
except smtplib.SMTPAuthenticationError as e:
print(f"❌ Authentication failed: {e}. Check App Password & 2FA status.")
return False
except Exception as e:
print(f"❌ Unexpected error: {e}")
return False⚠️ 关键注意事项（避坑清单）
-
端口与协议必须匹配：
- 使用
smtplib.SMTP(host, 587)+server.starttls()（推荐）； - 或使用
smtplib.SMTP_SSL(host, 465)（无需starttls，但端口必须为465）。
❌ 混用（如587端口不调用starttls，或465端口调用starttls）将导致静默失败或超时。
- 使用
-
收件人参数格式：
sendmail()的第二个参数必须是邮箱地址列表（如[email]），而非单个字符串，否则可能触发SMTPRecipientsRefused异常。立即学习“Python免费学习笔记（深入）”；
授权码存储安全：切勿将App Password硬编码在源码中。应通过环境变量（
os.getenv("GMAIL_APP_PASS")）或密钥管理服务加载，并确保.env文件已加入.gitignore。错误日志增强：在生产环境中，建议捕获具体异常类型（如
SMTPAuthenticationError,SMTPServerDisconnected），并记录时间戳与上下文，便于快速定位问题。备用方案提醒：若因企业策略无法启用2FA/应用密码，可考虑迁移到支持OAuth2的邮件服务（如SendGrid、Mailgun），或使用公司内部SMTP中继服务。
通过以上配置，你的OTP邮件发送功能将稳定、安全、合规地运行于Gmail生态中。记住：应用密码不是“绕过安全”，而是Google官方设计的、更精细的权限控制机制——拥抱它，即是保障账户与业务的双重安全。
