调用Microsoft Graph API获取邮件报401，获取用户信息正常求助

核心排查与解决步骤 #

以下是针对问题的具体落地排查方案：

1. 确认权限已完成授予

即便在应用注册中添加了Mail.Read等权限，只有完成权限授予后才会生效：

• 委托权限（Delegated permissions）：需登录用户手动同意（或管理员做租户级批量同意），检查应用注册的「API权限」页面，权限条目后需显示「已授予」标记。
• 应用权限（Application permissions）：必须由管理员完成租户级同意，同样需确认权限处于「已授予」状态。

2. 验证令牌关键声明

解码令牌后重点检查以下字段：

• aud：必须严格等于https://graph.microsoft.com，若为其他值（比如Azure AD原生端点），令牌无法用于Graph API调用。
• 权限声明：
  • 委托流：检查scp字段，必须包含Mail.Read；
  • 应用流：检查roles字段，必须包含Mail.Read。
• iss：需匹配你的租户端点，比如https://login.microsoftonline.com/{你的租户ID}/v2.0（使用v2端点时）。

3. 确保令牌请求包含正确范围

获取令牌时，必须明确请求对应权限的范围：

• 委托流（交互式/静默）：scope需包含https://graph.microsoft.com/Mail.Read，示例：

  var scopes = new[] { "https://graph.microsoft.com/Mail.Read", "https://graph.microsoft.com/User.Read" };
  

• 应用流（客户端凭据）：scope固定为https://graph.microsoft.com/.default，会自动包含所有已授予的应用权限。

4. 匹配权限类型与调用方式

不同权限类型对应不同调用规则，混用会直接导致401：

• 委托权限：必须基于用户上下文调用，可使用/me/messages或/users/{用户ID/UPN}/messages（需确保登录用户有权访问目标邮箱），需用交互式/静默等用户参与的令牌获取方式。
• 应用权限：无用户上下文，只能调用/users/{用户ID/UPN}/messages，不能用/me，需用客户端凭据流获取令牌。

5. 清除令牌缓存重新获取

如果之前获取的令牌未包含Mail.Read权限，缓存的旧令牌会导致后续调用失败。清除客户端令牌缓存后，重新获取新令牌即可。

代码示例参考 #

委托流（PublicClientApplication + 交互式获取）

var pca = PublicClientApplicationBuilder
    .Create("你的客户端ID")
    .WithTenantId("你的租户ID")
    .Build();

var scopes = new[] { "https://graph.microsoft.com/Mail.Read", "https://graph.microsoft.com/User.Read" };
var authResult = await pca.AcquireTokenInteractive(scopes).ExecuteAsync();

var graphClient = new GraphServiceClient(
    new DelegateAuthenticationProvider(req =>
    {
        req.Headers.Authorization = new AuthenticationHeaderValue("Bearer", authResult.AccessToken);
        return Task.CompletedTask;
    }));

// 调用/me/messages
var messages = await graphClient.Me.Messages.Request().GetAsync();

应用流（ConfidentialClientApplication + 客户端凭据）

var cca = ConfidentialClientApplicationBuilder
    .Create("你的客户端ID")
    .WithTenantId("你的租户ID")
    .WithClientSecret("你的客户端密钥")
    .Build();

var scopes = new[] { "https://graph.microsoft.com/.default" };
var authResult = await cca.AcquireTokenForClient(scopes).ExecuteAsync();

var graphClient = new GraphServiceClient(
    new DelegateAuthenticationProvider(req =>
    {
        req.Headers.Authorization = new AuthenticationHeaderValue("Bearer", authResult.AccessToken);
        return Task.CompletedTask;
    }));

// 应用权限只能调用指定用户的messages
var messages = await graphClient.Users["用户UPN或ID"].Messages.Request().GetAsync();

错误响应细节分析 #

查看401响应的WWW-Authenticate头，能快速定位问题：

WWW-Authenticate: Bearer realm="https://graph.microsoft.com", error="invalid_token", error_description="The audience is invalid", error_codes=[700016]

• error_description会明确说明原因，比如insufficient privileges表示权限不足，invalid_token可能是受众、签名或过期问题。

内容的提问来源于stack exchange，提问作者JP Morgenthal