Azure WebApp使用MSAL获取Graph API访问令牌失败求助

1. acquireTokenByClientCredential 是否适用于当前场景？ #

不完全适用，核心问题是权限类型不匹配。
你当前给应用授予的是委托权限（Delegated Permissions），但acquireTokenByClientCredential属于客户端凭据流（Client Credential Flow），这个流仅支持使用应用权限（Application Permissions）。委托权限用于代表具体用户操作，通常搭配授权码流等需要用户交互的流程；而客户端凭据流是应用以自身身份直接访问资源，无需用户参与。

如果要继续用这个流，你需要：

• 在Azure应用注册的「API权限」中，添加Microsoft Graph的应用权限（而非委托权限）：Mail.ReadWrite、Mail.Send
• 让管理员完成应用权限的同意（注意是应用权限对应的同意按钮，不是委托权限的）

2. 客户端凭据流的Scope正确构成 #

客户端凭据流的Scope格式固定：
{Graph服务根地址}/.default

• 不需要包含具体用户账号：应用权限是针对整个租户的，访问特定用户邮箱的逻辑要放在Graph API的请求路径中，而非Scope里
• 不需要指定单个权限：/.default会自动包含管理员已授予该应用的所有应用权限

针对你使用的美国政府版Graph，正确的Scope是：

const scopes = ['https://graph.microsoft.us/.default'];

3. 你尝试的Scope错误原因分析 #

• 第一个错误（AADSTS1002012）：客户端凭据流要求必须在资源标识符后追加/.default，你只写了Graph端点加用户邮箱，不符合格式要求
• 第二个错误（AADSTS500011）：写法本身有语法错误（字符串拼接错误），且在Scope里加入用户邮箱完全错误——客户端凭据流的Scope只需指定Graph根地址加/.default，不需要关联具体用户

修正后的代码示例 #

const authClient = new msal.ConfidentialClientApplication({
    auth: {
        clientId,
        clientSecret,
        authority: `${azureActiveDirectoryEndPoint}${tenantId}`,
    }
});

// 正确的scopes写法
const scopes = ['https://graph.microsoft.us/.default'];

function getToken(): Promise<string> {
    return authClient.acquireTokenByClientCredential({
        scopes,
    }).then(authResult => {
        if (!authResult) {
            throw new Error('Authentication failed!')
        }
        return authResult.accessToken;
    })
}

async retrieveNewEmails() {
    const accessToken = await getToken();
    // 访问特定用户收件箱的Graph API示例
    const response = await fetch(`https://graph.microsoft.us/v1.0/users/x@y-domain.com/mailFolders/Inbox/messages`, {
        headers: {
            'Authorization': `Bearer ${accessToken}`
        }
    });
    const emails = await response.json();
    // 后续处理逻辑
}

内容的提问来源于stack exchange，提问作者Maryam Shabani