已授权仍无法访问用户日历：Microsoft Graph API调用异常

尝试通过Microsoft Graph API在Outlook日历中创建日程，已创建Azure AD应用并授予委托权限和应用权限。使用以下AWS Lambda代码调用接口时，返回403状态码错误，无法完成日程创建。

代码示例 #

import axios from 'axios';
import querystring from 'querystring';

const tenantId = '123456'; // 你的目录（租户）ID
const clientId = '-558d64288141'; // 你的应用（客户端）ID
const clientSecret = 'ZXc8Q~t'; // 你的应用密钥值

async function getAccessToken() {
    const tokenEndpoint = `https://login.microsoftonline.com/${tenantId}/oauth2/v2.0/token`;
    const params = {
        grant_type: 'client_credentials',
        client_id: clientId,
        client_secret: clientSecret,
        scope: 'https://graph.microsoft.com/.default'
    };

    const response = await axios.post(tokenEndpoint, querystring.stringify(params), {
        headers: {
            'Content-Type': 'application/x-www-form-urlencoded'
        }
    });

    return response.data.access_token;
}

async function bookCalendarEvent(accessToken, eventDetails) {
    const endpoint = 'https://graph.microsoft.com/v1.0/users/schedule@test.com/events'; // 更新后的端点
    
    const response = await axios.post(endpoint, eventDetails, {
        headers: {
            Authorization: `Bearer ${accessToken}`,
            'Content-Type': 'application/json'
        }
    });

    return response.data;
}

export const handler = async (event) => {
    try {
        // 使用客户端凭证获取访问令牌
        const accessToken = await getAccessToken();

        // 示例日程详情
        const eventDetails = {
            subject: 'Lambda会议',
            body: {
                contentType: 'HTML',
                content: '这是由AWS Lambda创建的会议'
            },
            start: {
                dateTime: '2024-08-27T09:00:00', // 示例开始时间
                timeZone: 'UTC'
            },
            end: {
                dateTime: '2024-08-27T10:00:00', // 示例结束时间
                timeZone: 'UTC'
            },
            attendees: [
                {
                    emailAddress: {
                        address: 'example@domain.com', // 示例参会人邮箱
                        name: 'John Doe'
                    },
                    type: 'required'
                }
            ]
        };

        // 创建日历事件
        const result = await bookCalendarEvent(accessToken, eventDetails);

        return {
            statusCode: 200,
            body: JSON.stringify({
                message: '日程创建成功',
                eventId: result.id
            })
        };
    } catch (error) {
        console.error('创建日程出错:', error);
        return {
            statusCode: 500,
            body: JSON.stringify({
                message: '创建日程失败',
                error: error.message
            })
        };
    }
};

错误信息 #

{
  "statusCode": 500,
  "body": "{\"message\":\"创建日程失败\",\"error\":\"Request failed with status code 403\"}"
}

1. 确认应用权限配置有效 #

你使用的是客户端凭证（client_credentials）授权流，该流仅生效Application类型的权限，Delegated权限在此场景下不起作用。需检查：

• 已为应用添加Calendars.ReadWrite或Calendars.ReadWrite.All的Application权限
• 权限添加后已点击授予管理员同意（路径：Azure门户→应用注册→你的应用→API权限→确认权限状态为“已授予”）

2. 验证访问令牌的权限 #

获取到access_token后，可解析令牌查看roles字段：

• 若roles字段为空或不包含Calendars.ReadWrite/Calendars.ReadWrite.All，说明权限未正确授予，需回到权限配置步骤重新确认

3. 检查目标用户日历的访问权限 #

确保目标用户schedule@test.com的日历未设置限制，允许Azure AD应用访问。可尝试用Graph Explorer以应用权限模式测试创建该用户的日历事件，排除环境问题。

4. 完善代码错误日志 #

当前代码仅捕获了基础错误消息，建议修改catch块以打印Graph API返回的详细错误信息，帮助定位具体问题：

catch (error) {
    const errorDetails = error.response?.data || error.message;
    console.error('完整错误详情:', errorDetails);
    return {
        statusCode: 500,
        body: JSON.stringify({
            message: '创建日程失败',
            error: errorDetails
        })
    };
}

内容的提问来源于stack exchange，提问作者Amjad