使用Microsoft Graph API下载文件时遇401未授权，其他请求正常

1. 校验Bearer令牌的核心字段 #

用jwt.io解析令牌，确认：

• aud字段值必须为https://graph.microsoft.com，若为其他受众地址（如旧版https://outlook.office.com），会触发严格鉴权失败
• iss字段需匹配Azure AD的合法颁发地址，确保令牌是专门针对Graph API生成的

2. 确认权限的实际生效状态 #

虽然Azure门户配置了权限，但需核实：

• 应用级权限（如Files.Read.All）是否已完成管理员同意授予，未授予的权限仅在配置界面显示，实际不生效
• 委托权限是否为当前用户登录时明确授权的，部分接口（如缩略图）对权限校验较宽松，但content下载接口会严格校验授权状态

3. 核对请求URL的准确性 #

对比可正常返回缩略图的URL，确认：

• 下载请求中的Item ID完全一致，无字符缺失或错误
• 避免URL被代码意外转义（比如特殊字符的编码问题），可直接复制能正常工作的ID替换到下载URL中测试

4. 检查请求头的格式正确性 #

确保Authorization头严格符合规范：

• Bearer与令牌之间必须有且仅有一个空格，无多余换行或空格
• 用curl直接测试排除代码层面的头传递问题：

curl -H "Authorization: Bearer [你的令牌]" "https://graph.microsoft.com/v1.0/me/drive/items/652C6732B5C9F652!s44efd855700c4a5da4bdfde318b6096b/content"

5. 验证令牌的有效性 #

• 检查令牌exp字段确认未过期，部分接口对即将过期的令牌校验较宽松，但下载接口会严格拦截
• 确认令牌未在Azure AD中被吊销，或关联的应用权限未被修改

6. 排查文件级特殊权限 #

检查目标文件是否设置了单独的访问限制（如仅特定用户可下载），即使拥有全局文件权限，也可能被文件级权限拦截。可尝试下载其他文件的content接口，验证是否为单个文件的权限问题

内容的提问来源于stack exchange，提问作者RolandMakkelie