使用Microsoft Graph Go SDK客户端密钥认证调用接口报错排查

我已在Azure云控制台创建了企业应用/应用注册，并生成了Web凭据客户端密钥。现使用Microsoft Graph Go SDK通过客户端密钥进行认证，尝试获取关联该企业应用的用户列表、应用列表及当前用户信息，但运行代码时持续报错。

代码示例 #

package main

import (
    "context"
    "fmt"
    "github.com/Azure/azure-sdk-for-go/sdk/azidentity"
    "github.com/Azure/go-autorest/autorest/to"
    msgraphsdk "github.com/microsoftgraph/msgraph-sdk-go"
    msgraphcore "github.com/microsoftgraph/msgraph-sdk-go-core"
    a "github.com/microsoftgraph/msgraph-sdk-go-core/authentication"
    "github.com/microsoftgraph/msgraph-sdk-go/applications"
    "github.com/microsoftgraph/msgraph-sdk-go/models"
    "github.com/microsoftgraph/msgraph-sdk-go/users"
    "log"
)

func main() {

    cred, err := azidentity.NewClientSecretCredential("dd....", "10...", "LV....", nil)
    
    if err != nil {
        log.Fatal(err)
    }
    
    auth, err := a.NewAzureIdentityAuthenticationProviderWithScopes(cred, []string{"https://graph.microsoft.com/.default"})
    if err != nil {
        log.Fatal(err)
    }
    requestAdapter, err := msgraphsdk.NewGraphRequestAdapter(auth)
    if err != nil {
        log.Fatal(err)
    }
    
    graphClient := msgraphsdk.NewGraphServiceClient(requestAdapter)
    query := users.UserItemRequestBuilderGetQueryParameters{
        Select: []string{"displayName", "jobTitle"},
    }
    
    options := users.UserItemRequestBuilderGetRequestConfiguration{
        QueryParameters: &query,
    }
    
    result, err := graphClient.Me().Get(context.Background(), &options)
    if err != nil {
        fmt.Printf("Error getting users: %v\n", err)
        log.Fatal(err)
    }
    
    appGetOptions := &applications.ApplicationsRequestBuilderGetRequestConfiguration{
        QueryParameters: &applications.ApplicationsRequestBuilderGetQueryParameters{
            Filter: to.StringPtr(getDisplayNameFilter("swagger")),
        },
    }
    
    _, err_ := graphClient.Applications().Get(context.Background(), appGetOptions)
    if err_ != nil {
        log.Fatal(err_)
    }

}

func getDisplayNameFilter(displayName string) string {
 return fmt.Sprintf("displayName eq '%s'", displayName) 
}

报错信息 #

运行代码时收到错误：Error getting users: error status code received from the API，响应码为0。

1. 客户端凭据模式无法调用/me端点 #

客户端凭据（Client Secret）属于应用权限认证模式，这种模式下没有具体的用户上下文，而graphClient.Me().Get()对应的/me端点必须依赖用户上下文（即委派权限，通过用户登录获取令牌）才能返回数据，这是触发错误的核心原因。

解决方式：

• 若需获取特定用户信息，改用graphClient.Users().ByUserId("目标用户ID").Get()，传入具体的用户ID；
• 若需获取全量用户列表，调用graphClient.Users().Get()，同时确保应用已配置对应应用权限。

2. 应用权限配置不足 #

客户端凭据模式下，必须为Azure AD应用注册授予对应的应用权限（而非委派权限），并完成管理员同意：

• 获取用户列表：需添加User.Read.All应用权限；
• 获取应用列表：需添加Application.Read.All应用权限。

检查配置步骤：

1. 登录Azure AD控制台，找到目标应用注册；
2. 进入「API权限」页面，添加Microsoft Graph的应用权限；
3. 点击「授予管理员同意」按钮，完成权限生效。

3. 优化错误信息排查 #

当前代码错误提示不够具体，可通过解析Graph SDK的错误对象获取详细报错内容，比如权限不足、端点非法等：

import (
    "errors"
    "github.com/microsoftgraph/msgraph-sdk-go/models/odataerrors"
)

// 替换原有错误处理逻辑
if err != nil {
    var oDataError *odataerrors.ODataError
    if errors.As(err, &oDataError) {
        fmt.Printf("Graph API错误信息: %v\n", oDataError.GetError().GetMessage())
        fmt.Printf("错误代码: %v\n", oDataError.GetError().GetCode())
    } else {
        fmt.Printf("未知错误: %v\n", err)
    }
    log.Fatal(err)
}

4. 规范OData Filter格式 #

getDisplayNameFilter函数中使用单引号包裹字符串，在OData查询中虽允许，但更规范的写法是使用双引号，避免特殊字符转义问题：

func getDisplayNameFilter(displayName string) string {
 return fmt.Sprintf(`displayName eq "%s"`, displayName) 
}

内容的提问来源于stack exchange，提问作者Mozhi