使用Microsoft Graph API v5.17.0按邮箱查询Azure AD用户失败

1. OData Filter语法错误（核心问题） #

你的Filter语句里，邮箱字符串未用单引号包裹，这是OData查询的强制语法要求，直接拼接会导致Graph API解析失败，抛出ODataError。修正后的代码：

var userResponse = await _graphServiceClient.Users.GetAsync(c =>
{
    c.QueryParameters.Select = new[] { "mail" };
    c.QueryParameters.Top = 1;
    c.QueryParameters.Filter = $"mail eq '{userEmail}'"; // 为邮箱字符串添加单引号
});

var targetUser = userResponse?.Value?.FirstOrDefault();

2. 权限验证 #

• 用户上下文场景（当前登录用户调用API）：需确认Azure AD中已对Users.Read.All委托权限授予管理员同意——仅添加权限但未完成同意流程，会触发权限不足的ODataError。
• 应用上下文场景（后台服务无用户登录调用）：当前的AddMicrosoftIdentityWebApp是用户登录模式，需切换为客户端凭证模式：
  • 更新appsettings.json：

    "GraphApi": {
        "BaseUrl": "https://graph.microsoft.com/v1.0",
        "Scopes": "https://graph.microsoft.com/.default",
        "ClientId": "你的应用ID",
        "ClientSecret": "你的应用密钥",
        "TenantId": "你的租户ID"
    }
    

  • 修改服务注册代码：

    services.AddMicrosoftGraph(options =>
    {
        options.BaseUrl = Configuration["GraphApi:BaseUrl"];
        options.Scopes = Configuration["GraphApi:Scopes"];
    })
    .AddClientSecretCredential(
        Configuration["GraphApi:TenantId"],
        Configuration["GraphApi:ClientId"],
        Configuration["GraphApi:ClientSecret"]);
    

  同时在Azure门户配置Users.Read.All应用权限并完成管理员同意。

3. 空值处理优化 #

避免使用!强制空值访问，防止userResponse为null时触发空引用异常，改用安全的空值运算符?.处理结果。

内容的提问来源于stack exchange，提问作者Pankaj