使用@msal-node客户端凭证模式获取Microsoft Graph令牌时Scope无效问题及无交互上传OneDrive需求

我刚好踩过这个坑，咱们一步步拆解你的问题：

核心问题根源 #

你当前用的是客户端凭证流（Client Credential Flow），这个授权模式有两个关键限制你没注意到：

1. 它仅支持/.default这一种Scope格式，不能手动添加Files.Read这类具体Scope——这就是你加额外Scope时报错的直接原因。
2. 这个模式只会应用你在Azure AD中给应用注册配置的应用权限（而非委派权限），而且必须是针对Microsoft Graph的权限，因为OneDrive API是Graph生态的一部分。

你之前用${config.azureAppId}/.default作为Scope是错误的，这个值指向的是你自己的应用API，而非Graph API，自然无法获取OneDrive的访问权限。

正确的解决步骤 #

1. 在Azure门户配置正确的应用权限

• 打开你的Azure AD应用注册，进入API权限页面。
• 点击添加权限 → 选择Microsoft Graph → 选择应用权限（注意不是委派权限）。
• 搜索并添加OneDrive相关的应用权限，比如Files.Read.All、Files.ReadWrite.All（根据你的上传需求选择）。
• 点击授予管理员同意（这个步骤必须做，应用权限需要租户管理员批准才能生效）。

2. 修改MSAL Node代码的Scope

把Scope改成https://graph.microsoft.com/.default，这个值会让Azure自动包含你刚才配置的所有Graph应用权限。正确代码如下：

const msal = require('@azure/msal-node');
const config = require('../config');

const azConfig = {
  auth: {
    clientId: config.azureAppId,
    authority: `https://login.microsoftonline.com/${config.azureTenantId}`,
    clientSecret: config.azureAuthSecret
  }
};

const pca = new msal.ConfidentialClientApplication(azConfig);

async function getAccessToken() {
  try {
    const tokenResponse = await pca.acquireTokenByClientCredential({
      scopes: ['https://graph.microsoft.com/.default']
    });
    return tokenResponse.accessToken;
  } catch (error) {
    console.error('获取令牌失败:', error);
    throw error;
  }
}

为什么Postman能正常工作？ #

大概率你在Postman里用的不是客户端凭证流，而是授权码流（需要用户登录）——这个流支持手动指定Files.Read这类委派权限Scope。或者你在Postman的客户端凭证流里用了正确的https://graph.microsoft.com/.defaultScope，并且已经完成了管理员同意。

验证方法 #

拿到令牌后，可以用JWT解析工具查看令牌的roles字段，里面会包含你配置的应用权限（比如Files.ReadWrite.All），说明权限已经生效，之后就可以用这个令牌调用OneDrive的Graph API进行文件上传了。

内容的提问来源于stack exchange，提问作者cSaller