使用msal-node时Microsoft OAuth授权页未显示请求的所有权限范围

你遇到的权限不显示问题，核心原因是不同权限的同意机制存在差异，并非代码或配置遗漏，具体拆解及解决步骤如下：

1. 权限同意类型的核心区别 #

你请求的权限里，多数属于需管理员预先同意的权限，这类权限不会在用户授权页展示，只有管理员完成同意后，用户才能直接使用；而Calendars.Read属于用户可自主同意的权限，所以会在授权页正常显示。具体对应关系：

• 需管理员同意的权限：People.Read.All、Channel.Create、ChannelMessage.Send
• 用户可自主同意的权限：Calendars.Read
• 标准OIDC权限：offline_access、email、openid、profile（这类权限会合并到授权页的统一描述中，比如“允许应用登录你并读取你的个人资料”，不会单独列出）

2. 具体解决步骤 #

（1）确认权限的同意属性 #

登录Azure门户，进入你的应用注册页面，在「API权限」栏目下查看每个权限的：

• 「类型」：区分是委托权限还是应用权限
• 「是否需要管理员同意」：如果标记为“是”，则必须由租户管理员完成同意操作

（2）完成管理员同意 #

对于需要管理员同意的权限，有两种处理方式：

• 租户管理员直接在Azure应用注册的「API权限」页面，点击「授予管理员同意」（该操作对整个租户的所有用户生效）
• 如果应用配置了允许用户请求管理员批准，用户在授权页可以点击「请求管理员批准」按钮，提交权限申请给租户管理员

（3）验证权限配置状态 #

确保所有需要的权限都已添加到应用注册中，并且状态符合预期：

• 管理员同意后的权限：状态显示为「已授予 [租户名]」
• 用户可自主同意的权限：状态显示为「需要同意」

（4）彻底清除用户授权缓存 #

除了手动撤销权限，让用户进入个人权限管理页面，彻底移除该应用的所有授权记录，之后重新发起授权流程，验证权限显示情况。

（5）简化权限范围格式（可选） #

Microsoft Graph的权限支持简写形式，无需完整URL，比如将https://graph.microsoft.com/People.Read.All改为People.Read.All，msal-node会自动处理，可避免URL拼写错误的潜在问题。修改后的scopes示例：

scopes: [
    "People.Read.All",
    "Channel.Create",
    "ChannelMessage.Send",
    "Calendars.Read",
    "offline_access",
    "email",
    "openid",
    "profile"
]

内容的提问来源于stack exchange，提问作者Datguy