cakephp 应用通过 aws ses 发送邮件时出现“smtp server did not accept the password”间歇性错误，本质并非配置或代码问题，而是 aws 旧 smtp 凭据被后台逐步降级导致的随机认证拒绝；更换全新生成的 ses smtp 用户凭据即可彻底解决。
cakephp 应用通过 aws ses 发送邮件时出现“smtp server did not accept the password”间歇性错误，本质并非配置或代码问题，而是 aws 旧 smtp 凭据被后台逐步降级导致的随机认证拒绝；更换全新生成的 ses smtp 用户凭据即可彻底解决。
在 CakePHP 2.10.18（PHP 5.6 环境）中集成 AWS SES SMTP 服务时，即使所有配置完全正确——包括已验证发件人邮箱、DKIM 已启用、账户健康状态正常、端口（587）、TLS 启用、用户名/密码严格匹配——仍可能遭遇无规律复现的认证失败：同一脚本连续执行，前一次报错 SMTP server did not accept the password，后一次却成功发送。这种“时好时坏”的现象极易误导开发者陷入配置排查陷阱，但真实原因往往更隐蔽：AWS 对过期或长期未轮换的 SMTP 凭据实施了渐进式限流与降级策略。
AWS 官方虽未公开宣告，但大量生产实践证实：当一个 SES SMTP 用户（即 IAM 用户关联的 SMTP 凭据）创建时间较久（如超过 12–18 个月）、或长期未更新、或曾被用于高并发测试场景，其底层认证令牌可能被 SES 服务端标记为“低优先级”。此时，认证请求不再被稳定响应，而是以概率性方式返回 535 Authentication Failed（对应 CakePHP 封装层的模糊提示 “did not accept the password”），而非明确的 401 或 403。这正是你观察到“未改代码却偶发失败”的技术根源——它不是网络抖动，也不是密码泄露，而是 AWS 后台对陈旧凭据的静默淘汰机制。
✅ 正确解决路径如下：
立即停用旧 SMTP 用户
登录 AWS IAM 控制台 → 进入 Users → 找到原用于 SES 的用户 → 在 Security credentials 标签页下，禁用（Disable）或删除（Delete）其现有的 SMTP 凭据（注意：不要仅重置密码，必须新建凭证）。-
创建全新 SMTP 用户与凭据
- 新建一个专用 IAM 用户（推荐命名如
ses-smtp-prod-2026），不赋予任何其他权限； - 仅附加托管策略
AmazonSESFullAccess（或最小化策略：ses:SendRawEmail,ses:SendEmail）； - 在该用户 Security credentials 页面，点击 “Create SMTP credentials” → 选择区域（必须与
email-smtp.us-east-1.amazonaws.com一致，即us-east-1）→ 下载生成的 SMTP Username 和 SMTP Password（此密码为一次性密文，不可再次查看，请立即保存）。
- 新建一个专用 IAM 用户（推荐命名如
-
更新 CakePHP 配置（关键细节）
public $SMTP_config = array( 'transport' => 'Smtp', 'host' => 'email-smtp.us-east-1.amazonaws.com', 'port' => 587, 'timeout' => 30, 'username' => 'AKIAxxxxxxxxxxxxxx', // ✅ 全新 SMTP Username（非 IAM 用户名！） 'password' => 'BCdefghijklmnopqrstuvwxyZ1234567890=', // ✅ 全新 SMTP Password 'tls' => true, // 必须为 true —— SES 要求 STARTTLS 'log' => true, 'charset' => 'utf-8', // 其他字段保持不变 );⚠️ 注意：
username值是 AWS 生成的 16–20 位字母数字字符串（形如AKIA...），绝非你的 IAM 用户登录名；若误填 IAM 用户名（如ses-user-2023），将 100% 持续失败。 强制刷新连接池（可选但推荐）
CakePHP 2.x 默认复用 SMTP 连接。在部署新凭据后，建议重启 PHP-FPM 或 Web 服务器（如 Apache/Nginx），确保旧连接句柄被清除，避免缓存导致的残留认证失败。
? 补充验证建议：
- 启用 CakePHP Email 日志（
'log' => true）并检查tmp/logs/email.log，确认错误是否消失； - 使用
telnet email-smtp.us-east-1.amazonaws.com 587测试基础连通性； - 如需进一步调试，可在发送前临时添加：
$this->Email->smtpOptions['debug'] = 2; // 显示详细 SMTP 交互日志
? 总结：AWS SES 的 SMTP 认证失败极少源于 CakePHP 配置错误，而多由凭据生命周期管理缺失引发。定期（建议每 6–12 个月）轮换 SMTP 凭据，是保障邮件服务长期稳定的关键运维实践。切勿复用早期测试账号，始终为生产环境分配独立、新鲜、最小权限的 SMTP 用户——这不仅是安全要求，更是 AWS 服务兼容性的隐性契约。
