使用Microsoft Graph API的OneDrive定时上传服务认证流程咨询

核心错误原因 #

你遇到的Either scp or roles claim need to be present in the token错误，本质是用了应用权限的令牌获取逻辑（AcquireTokenForClient）去请求委派权限的接口。AcquireTokenForClient属于客户端凭证流，专门对应应用级权限，返回的令牌仅包含roles声明；而委派权限要求令牌携带scp声明，必须使用匹配的委派权限认证流程。

关于权限与账号的疑问 #

1. 是否必须使用委派权限？
   是的。既然IT拒绝授予应用级权限，只能选择委派权限——这类权限基于用户身份，代表特定用户执行操作（比如你的个人账号）。
2. 是否需要服务账号？
   不一定。如果IT不愿创建新服务账号，可使用现有个人账号，但要注意：该账号需拥有目标OneDrive文件夹的访问权限，且后续账号密码变更会直接影响定时任务。若要长期稳定运行，建议说服IT创建一个权限最小化的专用服务账号，避免个人账号变动带来的风险。

适合定时任务的委派权限认证流程 #

因为是无交互的定时程序，不能用普通交互式登录流，推荐以下两种方案：

方案1：设备码认证流（推荐） #

无需输入账号密码，仅需首次通过其他设备完成一次授权，后续可自动刷新令牌，适配无界面的定时任务场景。

• 使用类库：Microsoft.Identity.Client（MSAL.NET） + Microsoft.Graph
• 核心代码示例：

  // 初始化MSAL客户端
  var clientId = "你的应用ID";
  var tenantId = "你的租户ID";
  var scopes = new[] { "https://graph.microsoft.com/Files.ReadWrite.All" }; // 对应所需委派权限
  
  var pca = PublicClientApplicationBuilder
      .Create(clientId)
      .WithTenantId(tenantId)
      .Build();
  
  // 首次运行需设备码授权，后续自动缓存令牌
  var result = await pca.AcquireTokenWithDeviceCode(scopes, deviceCodeResult =>
  {
      Console.WriteLine(deviceCodeResult.Message);
      return Task.FromResult(0);
  }).ExecuteAsync();
  
  // 创建Graph客户端
  var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(async (requestMessage) =>
  {
      requestMessage.Headers.Authorization = new AuthenticationHeaderValue("Bearer", result.AccessToken);
  }));
  
  // 上传文件示例
  using var fileStream = new FileStream("本地文件路径", FileMode.Open);
  await graphClient.Me.Drive.Items["目标文件夹ID"].ItemWithPath("文件名").Content.Request().PutAsync<DriveItem>(fileStream);
  

方案2：用户名密码认证流（仅应急使用） #

直接传入账号密码获取令牌，无需交互，但存在密码泄露风险，且不支持开启MFA的账号（会直接认证失败）。

• 核心代码示例：

  var pca = PublicClientApplicationBuilder
      .Create(clientId)
      .WithTenantId(tenantId)
      .Build();
  
  var securePassword = new SecureString();
  foreach (char c in "用户密码") securePassword.AppendChar(c);
  
  var result = await pca.AcquireTokenByUsernamePassword(scopes, "用户账号", securePassword).ExecuteAsync();
  
  // 后续Graph客户端创建逻辑同方案1
  

关键注意事项 #

• 确保在Entra应用中已添加并授予对应委派权限（如Files.ReadWrite.All），若为租户级权限需完成管理员同意。
• 令牌缓存：MSAL会自动缓存令牌，后续调用可通过AcquireTokenSilent获取刷新后的令牌，无需重复授权：

  var accounts = await pca.GetAccountsAsync();
  var result = await pca.AcquireTokenSilent(scopes, accounts.FirstOrDefault()).ExecuteAsync();
  

• 避免混用客户端类型：ConfidentialClientApplication主要用于应用级权限或授权码流（需回调），无交互的委派权限场景用PublicClientApplication更适配。

内容的提问来源于stack exchange，提问作者Kent Skinner