使用HTTP请求对接微软认证时遭遇AADSTS50126错误的技术求助

核心问题：AADSTS50126错误的根源 #

AADSTS50126本质是微软认证服务拒绝了你的用户名密码验证请求，针对个人Microsoft账号（consumer），这种错误大多和ROPC授权方式的限制、应用配置错误、账号安全设置有关。

具体排查与修复步骤 #

1. 修正应用注册配置 #

• 确保你注册的应用支持个人Microsoft账号：在Azure门户的应用注册中，"支持的账户类型"必须是**"任何组织目录中的账户和个人Microsoft账户"或"仅个人Microsoft账户"**。
• 检查API权限：添加OneDrive的委托权限（比如Files.ReadWrite、offline_access），个人账号不需要管理员同意，直接添加即可。注意不能选应用权限，ROPC只支持委托权限。

2. 调整ROPC请求参数 #

个人账号的ROPC请求不需要传client_secret！因为控制台应用属于公共客户端，微软不允许公共客户端使用客户端密钥，传了反而会导致验证失败。修改后的请求体（URL编码后）应为：

grant_type=password&username=*your email*&password=*your password*&client_id=*your client id*&scope=Files.ReadWrite offline_access

同时必须确保请求头的Content-Type设置为application/x-www-form-urlencoded，WinHTTP里要通过WinHttpAddRequestHeaders正确设置这个头。

3. 检查账号安全设置 #

• 如果你的个人账号开启了多因素认证（MFA），ROPC方式会直接触发AADSTS50126错误，微软完全禁止MFA账号使用ROPC。你可以临时关闭MFA测试，但不推荐长期这么做，因为ROPC本身不安全。
• 不要使用应用密码（App Password），ROPC只支持账号的真实登录密码。

4. 关于"账号不在Azure组中"的错误 #

这个错误说明你测试的是工作/学校账号（组织账号），而你用的是/consumer/端点（仅针对个人账号）。如果你的应用只需要访问个人OneDrive，就不要用组织账号测试；如果要支持组织账号，需要把请求地址改成https://login.microsoftonline.com/common/oauth/v2.0/token，但组织账号的ROPC同样受MFA和管理员限制。

更推荐的替代方案：放弃ROPC，改用设备码流 #

ROPC是微软不推荐的授权方式，安全性低且限制多。控制台应用更适合用设备码流（Device Code Flow），流程如下：

1. 向设备码端点发送请求：

   POST https://login.microsoftonline.com/consumer/oauth/v2.0/devicecode
   Content-Type: application/x-www-form-urlencoded
   
   client_id=*your client id*&scope=Files.ReadWrite offline_access
   

2. 解析返回的user_code、verification_uri，提示用户打开浏览器访问verification_uri并输入user_code登录。
3. 后台轮询令牌端点获取token：

   POST https://login.microsoftonline.com/consumer/oauth/v2.0/token
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=device_code&client_id=*your client id*&device_code=*返回的device_code*
   

4. 用户登录后，即可获取access_token和refresh_token，用来调用OneDrive API。

内容的提问来源于stack exchange，提问作者Long Nange