MSA登录Azure AD用户后，如何正确初始化GraphServiceClient？

首先明确：必须手动获取访问令牌并传入GraphServiceClient，User.Identity本身不会直接携带access token，需要通过身份验证框架的令牌获取机制从缓存中提取。

核心逻辑 #

用户登录后，身份验证框架会将包含access token的令牌数据存储在会话或令牌缓存中。你需要针对Microsoft Graph的权限范围获取对应的access token，再用它初始化GraphServiceClient。

具体实现示例（以ASP.NET Core为例） #

1. 安装必要NuGet包 #

确保项目已安装以下包：

• Microsoft.Identity.Web
• Microsoft.Identity.Web.MicrosoftGraph

2. 配置Program.cs（服务注入） #

在启动配置中添加身份验证和Graph服务支持：

var builder = WebApplication.CreateBuilder(args);

// 配置Azure AD身份验证，并启用下游API令牌获取
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration)
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddMicrosoftGraph(builder.Configuration.GetSection("MicrosoftGraph"))
    .AddInMemoryTokenCaches();

// 其他服务配置...

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

// 其他中间件配置...

3. 配置appsettings.json参数 #

添加Azure AD和Graph的配置项：

{
  "MicrosoftGraph": {
    "BaseUrl": "https://graph.microsoft.com/v1.0",
    "Scopes": "user.read mail.read" // 根据业务需求添加对应的权限范围
  },
  "AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "你的租户域名",
    "TenantId": "你的租户ID",
    "ClientId": "你的应用客户端ID",
    "CallbackPath": "/signin-oidc"
  }
}

4. 控制器中注入使用GraphServiceClient #

通过依赖注入直接获取实例，无需手动初始化：

public class UserController : Controller
{
    private readonly GraphServiceClient _graphClient;

    public UserController(GraphServiceClient graphClient)
    {
        _graphClient = graphClient;
    }

    public async Task<IActionResult> UserProfile()
    {
        // 调用Graph API获取当前用户信息
        var currentUser = await _graphClient.Me.Request().GetAsync();
        ViewBag.UserInfo = new 
        {
            Name = currentUser.DisplayName,
            Email = currentUser.Mail
        };
        return View();
    }
}

特殊场景：手动获取令牌初始化 #

如果无法使用依赖注入，可手动从令牌缓存提取access token并初始化：

using Microsoft.Identity.Web;
using System.Net.Http.Headers;

// 在已登录的请求上下文（如控制器）中
var tokenAcquisition = HttpContext.RequestServices.GetRequiredService<ITokenAcquisition>();
var scopes = new[] { "user.read" };
var accessToken = await tokenAcquisition.GetAccessTokenForUserAsync(scopes);

// 手动构建GraphServiceClient
var graphClient = new GraphServiceClient(
    new DelegateAuthenticationProvider(request =>
    {
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
        return Task.CompletedTask;
    })
);

// 调用API示例
var userDetails = await graphClient.Me.Request().GetAsync();

常见问题排查 #

• 确认Azure AD应用注册中已添加Microsoft Graph的委托权限，并完成管理员同意。
• 检查Scopes配置与应用注册中添加的权限范围完全匹配。
• 确保用户登录后令牌缓存正常工作（可通过内存缓存或分布式缓存验证）。

内容的提问来源于stack exchange，提问作者Davit Chkhikvadze