Azure AD Graph获取用户数据报错：调用graphClient.Me.GetAsync()失败

核心问题 #

你用ClientSecretCredential创建GraphServiceClient，这是**应用身份（应用权限）的调用方式，但graphClient.Me.GetAsync()是针对当前登录用户（委托权限）**的接口——应用身份没有“当前用户”的概念，直接调用/me端点必然触发OData错误。

修复方案 #

方案一：改用委托权限（匹配你获取当前登录用户信息的需求） #

要获取当前登录用户的信息，应该基于用户的访问令牌创建GraphServiceClient，而不是用应用密钥：

// 在Razor视图/控制器中，从HttpContext获取用户的登录令牌
var accessToken = await HttpContext.GetTokenAsync("access_token");
var graphClient = new GraphServiceClient(
    new DelegateAuthenticationProvider(req =>
    {
        req.Headers.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        return Task.CompletedTask;
    })
);

// 此时调用Me接口正常返回当前用户数据
var user = await graphClient.Me.GetAsync();
var displayName = user.DisplayName;

同时要完成两项配置：

• 在Azure AD应用注册里添加委托权限（比如User.Read），并点击“授予管理员同意”
• 在项目的身份认证配置中（Program.cs里的AddMicrosoftIdentityWebApp），指定请求的权限：options.Scope.Add("User.Read")

方案二：若必须用应用权限（不推荐用于当前场景） #

如果一定要用应用身份调用，必须指定具体的用户ID来获取信息：

// 从当前登录用户的Claims里读取ObjectId
var userId = User.FindFirstValue("http://schemas.microsoft.com/identity/claims/objectidentifier");
// 通过用户ID调用接口
var user = await graphClient.Users[userId].GetAsync();
var displayName = user.DisplayName;

这种方式需要在Azure AD应用注册中添加应用权限（比如User.Read.All），同样要授予管理员同意。

额外排查建议 #

• 捕获异常后查看ODataError的error.Message和error.Details，里面会有具体错误原因（比如权限不足、资源不存在）
• 去Azure门户的应用注册页面，检查“API权限”里的权限是否已正确配置并完成同意
• 用JWT解码工具查看用户的访问令牌，确认scp（委托权限）或roles（应用权限）声明里包含所需的权限

内容的提问来源于stack exchange，提问作者Liam