创建订阅时Graph MS API随机返回401未授权的原因排查

可能的原因及排查方向 #

• 权限范围或权限类型不匹配
  尽管其他OneDrive API（如列出文件夹）能正常调用，但订阅变更接口对权限有更严格的要求：

  • 若使用委托权限，需确保令牌包含Files.ReadWrite.All或Sites.ReadWrite.All权限；
  • 若使用应用权限，不能用/me/drive/root作为resource路径（应用权限无当前用户上下文），需替换为/drives/{drive-id}/root或/sites/{site-id}/drive/root，同时确保权限包含应用权限版本的Files.ReadWrite.All。

• 令牌生命周期与刷新时机问题
  即使每次调用前刷新令牌，仍需确认：

  • 刷新后的令牌exp（过期时间）是否在请求发出时仍处于有效期内（避免刷新后令牌只剩几秒，请求过程中过期）；
  • 记录令牌的过期时间与请求时间，对比排查是否存在令牌超时的情况。

• 令牌有效性细节问题
  解码访问令牌（可通过jwt.io解析），检查以下字段：

  • aud（受众）必须为https://graph.microsoft.com；
  • scp（委托权限）或roles（应用权限）字段是否包含订阅所需的权限；
  • 若返回401，查看响应头的WWW-Authenticate字段，Graph通常会给出具体错误原因（如invalid_token、expired_token）。

• 订阅验证机制的隐性问题
  虽然你已验证notificationUrl正常，但需确保Spring服务能即时响应Graph的验证请求：

  • 当创建订阅时，Graph会先向notificationUrl发送GET请求并携带validationToken参数，服务需立即返回该参数值，不能有延迟或错误处理逻辑干扰；
  • 若验证响应超时或不正确，可能导致订阅创建失败，部分场景下会被误返回401。

• 令牌缓存或并发问题
  检查Spring中是否存在令牌缓存逻辑错误，确保每次刷新后都使用最新的令牌发送订阅请求，避免并发场景下部分请求使用了旧的/过期的令牌。

内容的提问来源于stack exchange，提问作者Marianne A.K