为何Interactive Browser Credential会修改我传入的Scope？

问题根源 #

你遇到的错误是因为GraphServiceClient的scopes参数要求传入字符串列表，但你传入的是单个字符串。当代码将单个字符串作为可迭代对象处理时，会把字符串拆分成单个字符，再加上Azure AD默认附加的openid、profile、offline_access等scope，最终形成了报错里的无效scope集合（即那些零散字符加默认scope的组合）。

修复代码 #

将scopes变量改为列表形式即可解决：

from azure.identity import InteractiveBrowserCredential
from msgraph import GraphServiceClient
import asyncio 

async def me():
    credential = InteractiveBrowserCredential()
    # 改为列表形式传入scope
    scopes = ['https://graph.microsoft.com/.default']
    graph_client = GraphServiceClient(credential, scopes)
    me = await graph_client.me.get()
    if me:
        print(me)
        
if __name__ == "__main__":
    asyncio.run(me())

补充说明 #

• .default scope更适合客户端凭据流（如后台服务），而你使用的是交互式浏览器凭据（用户登录场景），如果仅需获取当前用户信息，更推荐使用具体权限scope，比如['User.Read']，权限更精细且符合交互式登录的设计逻辑。
• 若坚持使用.default，需确保你的应用注册已配置对应委派权限并完成管理员同意。

内容的提问来源于stack exchange，提问作者Edmund Shumway