使用microsoft-graph-client获取邮件时遭遇401未授权错误求助

核心原因分析 #

你遇到的401错误，大概率是权限类型与API路径不匹配，或者Access Token缺少必要权限导致的，以下是具体排查和修复方案：

1. 确认权限类型与API路径匹配 #

登录Azure门户查看你的应用权限配置：

• 如果Mail.Read是应用权限（Application Permission）：
  • 应用权限是租户级权限，不代表具体用户，因此/me/messages路径不适用（/me仅指代当前授权用户），必须替换为具体用户的邮箱或ID，修改代码中的API路径：

    // 替换{user-email-or-id}为实际用户的邮箱或Azure AD用户ID
    const response = await client.api("/users/{user-email-or-id}/messages").top(10).get()
    

  • 同时确保管理员已经同意该应用权限（应用权限需要全局管理员审批）。
• 如果Mail.Read是委派权限（Delegated Permission）：
  • /me/messages路径是合法的，但需要确认获取refresh_token时，用户已经授权了Mail.Read权限，且Access Token包含该权限。

2. 验证Access Token的有效性 #

将getAccessToken()返回的token复制到jwt.ms解析，检查以下字段：

• aud：必须等于https://graph.microsoft.com，否则说明Token的受众错误，可能是scope参数配置有误。
• scp（委派权限）或roles（应用权限）：必须包含Mail.Read，如果没有说明Token未获取到对应权限。
• exp：确认Token未过期。

3. 优化代码的错误排查能力 #

在getAccessToken()函数中添加响应状态检查，便于发现Token请求的潜在问题：

async function getAccessToken() {
    try {
        const url = `https://login.microsoftonline.com/${tenantId}/oauth2/v2.0/token`;
        const params = new URLSearchParams();
        params.append('grant_type', 'refresh_token');
        params.append('client_id', clientId);
        params.append('client_secret', clientSecret);
        params.append('refresh_token', refreshToken);
        params.append('scope', 'https://graph.microsoft.com/.default');

        const response = await fetch(url, {
            method: 'POST',
            body: params,
        });

        // 新增：检查响应状态，抛出具体错误
        if (!response.ok) {
            const errorData = await response.json();
            throw new Error(`获取Token失败：${errorData.error_description || response.statusText}`);
        }

        const data = await response.json();
        return data.access_token;
    } catch (error) {
        console.error('Token获取错误:', error);
        throw error; // 向上抛出错误，便于上层捕获
    }
}

4. 确认Refresh Token的有效性 #

如果是委派权限场景，refresh_token可能因用户撤销授权、密码变更等原因失效，此时调用Token接口会返回invalid_grant错误，需要重新引导用户授权获取新的refresh_token。

内容的提问来源于stack exchange，提问作者TotoroTani