PowerShell调用Graph API获取accountEnabled数据为空问题排查

1. 确认API响应的解析逻辑 #

Graph API返回的结果是包含value数组的JSON结构，accountEnabled属性嵌套在每个用户对象里，而非顶层结构。如果脚本直接取顶层属性会返回null，正确的处理方式应该遍历value数组：

# 示例：正确遍历用户对象
$response = Invoke-RestMethod -Uri "https://graph.microsoft.com/v1.0/users/?`$select=displayname,accountEnabled,userPrincipalName" -Headers $authHeaders
foreach ($user in $response.value) {
    Write-Host "用户名: $($user.displayName) 启用状态: $($user.accountEnabled)"
}

2. 检查原始响应内容 #

在脚本中输出完整的API响应，确认accountEnabled字段是否存在：

# 导出响应到本地文件查看
$response | ConvertTo-Json -Depth 10 | Out-File "graph_user_response.json"

打开生成的JSON文件，核对每个用户条目里是否包含accountEnabled及对应的布尔值（true/false）。如果Postman能获取但本地响应没有，需检查请求头是否完整。

3. 验证认证请求头 #

确保PowerShell中构造的认证头正确包含Bearer Token，格式如下：

# 正确的请求头示例
$authHeaders = @{
    "Authorization" = "Bearer $accessToken"
    "Content-Type"  = "application/json"
}

若Token过期或格式错误，API可能返回默认字段集合，而非你通过$select指定的字段。

4. 修正布尔值判断逻辑 #

PowerShell会将JSON布尔值解析为原生布尔类型，避免用字符串判断（比如-eq "true"），应该直接使用布尔值判断禁用账户：

# 正确判断禁用账户
if (-not $user.accountEnabled) {
    Write-Host "禁用账户: $($user.userPrincipalName)"
}

5. 处理API分页 #

当用户数量超过100条时，Graph API会分页返回结果，未处理分页会导致遗漏后续页面的用户（包括最后一个禁用账户），需循环处理@odata.nextLink：

# 处理分页的示例
$uri = "https://graph.microsoft.com/v1.0/users/?`$select=displayname,accountEnabled,userPrincipalName"
do {
    $response = Invoke-RestMethod -Uri $uri -Headers $authHeaders
    foreach ($user in $response.value) {
        Write-Host "用户名: $($user.displayName) 启用状态: $($user.accountEnabled)"
    }
    $uri = $response.'@odata.nextLink'
} while ($uri)

内容的提问来源于stack exchange，提问作者Evol