使用UsernamePasswordCredential调用Graph API遇AADSTS65001错误，求无交互方案

一、错误核心原因 #

AADSTS65001是因为应用所需的委派权限未被用户或管理员预先同意，而你使用的UsernamePasswordCredential（ROPC流）不支持动态触发交互式授权，必须提前完成权限同意操作。

二、权限配置步骤 #

1. 登录Azure AD门户，找到你的应用注册
2. 进入「API权限」页面，点击「添加权限」→ 选择「Microsoft Graph」→ 选择「委派权限」
3. 添加所需权限：
   • 读取用户信息：User.Read
   • 读取日历：Calendars.Read（如需读取共享日历，可额外添加Calendars.Read.Shared）
4. 点击「授予管理员同意」（针对租户内所有用户），如果仅单个用户测试，也可让用户通过一次交互式登录完成同意，但非交互式场景优先推荐管理员统一授权

三、代码调整要点 #

1. 确保权限范围正确：

   private static List<String> getScopes() {
       return Arrays.asList(
           "https://graph.microsoft.com/User.Read",
           "https://graph.microsoft.com/Calendars.Read"
       );
   }
   

2. 读取日历事件的示例代码：

   // 获取当前用户的日历事件，按需选择返回字段
   IEventCollectionPage events = graphClient.me().calendar().events()
       .buildRequest()
       .select("subject,start,end,location")
       .get();
   

四、非交互式场景关键注意事项 #

• ROPC流不支持启用MFA的用户，若目标用户有MFA配置，会再次触发交互式请求，此时建议切换为客户端凭证流（应用权限）：
  • 改用ClientSecretCredential，配置应用权限Calendars.Read.All并授予管理员同意
  • 代码中需指定具体用户ID读取日历：

    IEventCollectionPage events = graphClient.users("target-user@your-domain.com").calendar().events()
        .buildRequest()
        .get();
    

• 确保应用注册的「身份验证」页面中，已启用「允许公共客户端流」（ROPC属于公共客户端流范畴）

内容的提问来源于stack exchange，提问作者Eric Du