客户端授权码怎么获取：它和登录密码不是一回事

「密码填什么」这个问题，在开了客户端授权码的邮箱上，答案不是唯一的那个密码。填网页登录密码，客户端会一直提示验证失败；填对了授权码，网页端反而登不进去。两串东西长得都像密码，作用却分属两套体系。

站上 Outlook 配置 那篇写了生成入口的三步操作，本篇不重复点哪里。这篇讲的是拿到之后怎么管：哪些情况必须用授权码、为什么改密码它不会失效、以及离职和换设备时该吊销哪一个。管不好这一环，前面配得再对也白搭。

什么时候「密码」这两个字已经不指同一个东西

邮箱的登录方式其实有两条通道，走的是两套凭证。

一条是网页端。浏览器打开邮箱，输入账号和密码，走的是 HTTP 表单登录，能进后台、能改设置、能看全部邮件。这条通道用登录密码。

另一条是客户端。手机、Outlook、Foxmail 这些程序，用 IMAP、POP3、SMTP 三个协议连服务器收发信。这三个协议本身只认「用户名 + 口令」这一组，没有验证码、没有二次确认。为了不让主密码散落在十几台设备上，服务商给了替代方案：单独签发一串授权码，专供这条通道使用。

所以「开了授权码之后密码填什么」这个问题，正确的问法是：你在哪个界面填。网页端填登录密码，客户端填授权码。两个地方填反了，都会报「用户名或密码错误」，看不出区别。

授权码的开关由管理员控制。它在账号设置里是一个独立选项，管理员可以统一打开或关闭。如果客户端设置里找不到「客户端授权码」这一栏，多半是管理员没开，或者这个版本把入口挪到了别处——先问管理员，不要自己去试各种密码。

改密码吊销不了它，这是最容易漏的一点

这是授权码和企业邮箱管理里绝大多数安全漏洞的来源。

员工离职，管理员的常规操作是改密码、停用账号。这两个动作确实让本人登不进网页端了。但已经发出去的授权码，是一份独立凭证，服务器认的是它，不是密码。改密码不会让它失效，停用账号也不一定让它失效。

结果就是：一个已经离职的人，手机上的邮件 App 仍然能收新邮件。管理员在后台看登录日志，看到的是一个「正常」的 IMAP 连接，因为从协议层看，它确实合法。

这里的因果要想清楚：授权码之所以有用，正是因为它和密码解耦。解耦带来两个好处，也带来这一个坏处——它能单独签发，就能单独吊销；反过来，你不去吊销，它就一直有效。

正确的处置顺序只有一种：先吊销该账号名下全部授权码，再改密码，最后停用账号。顺序反了，中间会有一段空窗期，客户端可能仍保持会话。这条流程在 离职员工邮箱怎么处理 里有更完整的时间线，授权码只是其中一环。

生成的时候顺手做三件事

生成那一下只要几秒，但这三件事如果当时不做，后面要花几倍时间补。

一，当场复制保存。授权码只在生成的那一刻完整显示，关掉弹窗就再也看不到了。看不到不等于失效，它还在生效，只是你没法再读出原文。丢了只能吊销重发，没有「查看」这个选项——这是设计如此，存明文凭证本身就是风险。

二，给它起个能认出来的名字。生成时可以填名称，多数人随手写「1」「test」。三个月后后台列表里躺着七八条授权码，你分不清哪条属于离职同事的旧手机。建议写成「设备 + 使用人 + 年月」，比如「iPhone-张三-202611」。名字只是标签，不影响使用，但它是你日后能精准吊销的唯一依据。

三，记在能传给下一个人的地方。授权码本身不该记在共享文档里，但「哪个设备用了哪个授权码」这件事应该有个记录。否则换管理员的时候，后台那一列标签就成了唯一的线索。

吊销有三级，选错会连自己一起锁死

后台提供的吊销粒度通常有三档。它们的区别不在于「能不能停」，而在于「停多大范围」。

最常见的操作失误是选错范围。为了清一台旧手机，把整个账号的授权码全吊销了，结果本人 iPad、家里的电脑、公司的 Outlook 全部掉线，第二天挨个重配。反过来，为了省事只吊销一条，实际外泄的那条还留着，等于没做。

判断办法很简单：问一句「除了这台，还有谁在用这个邮箱」。答案是「没有」，就吊销单条；答案是「不确定」，就吊销全部再重新发。后者麻烦，但不会留缺口。

还有一层容易忽略：吊销是立即生效的，但已连接的客户端不一定马上断开。IMAP 的长连接在服务端主动踢掉之前，可能还维持一段时间。所以吊销之后不要立刻判定「没生效」，隔几分钟再看，或者让对方把 App 关掉重开。

五个常见的填错方式

授权码本身不会错，错的是复制和使用的方式。下面五条按出现频率排。

复制时带上了空格。从网页复制一串字符，末尾常常跟一个换行或者空格。粘贴进客户端的输入框，肉眼看不出来，服务器判定为不匹配。粘贴后把光标移到末尾按一下退格，是个很土但有效的习惯。

把 0 和 O、1 和 l 看错。授权码里常有这类形近字符。手抄到另一台设备上的时候最容易错，一错就是「密码不正确」。能复制就不要手打。

填进了网页登录框。有些人拿到授权码，先去网页端试一下「能不能登」，试完发现不行，就以为码是坏的。授权码只对客户端协议有效，网页端认的是登录密码，这条前面已经说过。

一个码发给所有人用。技术上可行，管理上很糟。十个人共用一条授权码，其中一个离职，你要么全吊销让另外九个人重配，要么留着这条继续有效。一设备一码的意义就在这里。

用邮箱别名当用户名。账号如果有多个别名地址，客户端里用户名要填登录用的那个主地址。填别名，服务器找不到对应的账号记录，报的还是密码错误。

离职交接时的顺序，别弄反

把前面几节合成一张动作清单，顺序有讲究。

第一步，后台找到该账号名下的全部授权码，逐个吊销。第二步，改登录密码。第三步，视情况停用账号或转交邮件。第四步，如果邮箱要继续给继任者用，由继任者自己生成新的授权码，不要沿用旧的。

为什么吊销要排在改密码前面：改密码会让本人无法登录网页端，但客户端那条通道不受影响。先改密码，等于给了对方一个「还能收信、但你不知道」的窗口。反过来先吊销，通道立刻断，之后改不改密码都不影响安全性。

还有一件事常被漏掉：离职员工的客户端里可能存着本地邮件副本。吊销授权码只是断开了连接，已经下载到本地的邮件还在那台设备上。要彻底处理，得让对方在 手机端 或电脑上删除账户并清空本地数据——这一步技术上没法远程强制执行，只能写进离职交接单里，让人签字确认。

另外提醒一句：安卓手机配企业邮箱 这类新设备接入时，生成授权码这一步经常被跳过，直接拿密码试。试不通再来问，浪费的时间比一开始就按流程走要多。配之前先确认这个邮箱是否已开启客户端授权码，是的话就先去生成，别在客户端里反复试密码。