使用MS Graph API客户端凭证流访问用户数据遇400错误求助

针对你遇到的客户端凭证流调用MS Graph API访问用户驱动器和共享文件的400错误，按以下方向排查：

1. 修复/shares端点的共享URL编码 #

调用/shares时，共享链接必须按特定规则编码：

• 先对完整的共享URL进行URL编码（比如把https://contoso.sharepoint.com/:x:/r/...转成https%3A%2F%2Fcontoso.sharepoint.com%2F%3Ax%3A%2Fr%2F...）
• 在编码后的字符串前添加前缀u!，最终的{sharedFiledUrl}参数格式为u!https%3A%2F%2Fcontoso.sharepoint.com%2F%3Ax%3A%2Fr%2F...
• 错误的编码格式是导致400最常见的原因，务必验证编码后的格式是否符合要求。

2. 确认应用权限的管理员授予状态 #

虽然你的令牌包含Files.Read.All等角色，但客户端凭证流要求这些权限必须由Azure AD管理员明确授予：

• 登录Azure门户，进入应用注册→你的应用→API权限
• 检查所有已添加的应用权限（注意是应用权限，不是委托权限）是否显示“已授予[租户名称]管理员同意”
• 如果未授予，点击“授予管理员同意”按钮完成授权，重新获取令牌后重试。

3. 验证用户OneDrive的存在性 #

调用/users/{userId}/drive时，如果目标用户从未登录过OneDrive，其个人驱动器可能尚未创建，此时会返回400或404错误：

• 可以先让用户手动登录OneDrive一次，确认驱动器已生成
• 或者通过Graph API先调用/users/{userId}/drive/root触发驱动器创建（需要足够权限），再重试查询。

4. 检查请求参数与头部格式 #

• 确认{userId}是有效的用户对象ID或用户主体名称（UPN），避免拼写错误或使用错误的标识符
• 验证请求头部的Authorization格式为Bearer {access_token}，确保令牌未过期且无格式错误
• 对于GET请求，不要添加多余的Content-Type头部，避免格式冲突。

5. 获取详细错误信息 #

添加请求头部Prefer: return=representation，Graph API会返回更具体的错误详情，例如：

GET https://graph.microsoft.com/v1.0/shares/{sharedFiledUrl}
Authorization: Bearer {token}
Prefer: return=representation

响应体中的error字段会给出400错误的具体原因，帮助快速定位问题。

内容的提问来源于stack exchange，提问作者user2338195