更换Azure应用客户端密钥后无法获取OAuth2令牌（AADSTS7000215错误）

核心排查步骤 #

• 确认密钥复制完整性：Azure生成新客户端密钥时仅显示一次完整值，务必确保复制的是整个密钥字符串，没有遗漏首尾空格或特殊字符（如+、/、=这类符号）。
• 校验请求参数格式：
  • 兑换授权码的请求中，client_secret直接传入密钥原始值即可，无需手动URL编码（多数HTTP客户端会自动处理编码逻辑）；若编码后仍报错，尝试用原始值发送请求。
  • 确认grant_type固定为authorization_code，且code是最新获取的授权码（授权码仅能使用一次，过期或重复使用可能伴随密钥错误提示）。
• 验证应用注册配置：
  • 检查Azure应用注册中，新生成的客户端密钥是否未过期。
  • 确保应用的redirect_uri与获取授权码时使用的地址完全一致（包括HTTP/HTTPS、域名、路径，大小写敏感）。
• 排查缓存残留：
  • 用浏览器无痕模式重新获取授权码，清除旧会话信息的干扰。
  • 若使用代码实现，检查是否有硬编码的旧密钥残留，或配置文件未更新为新密钥。
• 用基础请求测试：
  用curl直接发送请求排除代码逻辑问题：

  curl -X POST https://login.microsoftonline.com/{Tenant_ID}/oauth2/v2.0/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id={Client_ID}" \
  -d "scope=https://graph.microsoft.com/Mail.Read" \
  -d "code={Authorization_Code}" \
  -d "redirect_uri={Your_Redirect_URI}" \
  -d "grant_type=authorization_code" \
  -d "client_secret={New_Client_Secret_Value}"
  

特殊场景提示 #

如果以上步骤均无效，尝试删除现有客户端密钥，重新生成一个类型为"客户端密码"、有效期选1年或自定义较短周期的密钥，生成后立即复制并测试，避免密钥生成时的异常导致无效值。

内容的提问来源于stack exchange，提问作者ebsdevopsguy