调用Microsoft Graph API遇AccessDenied：token缺scp/roles声明求助

看起来你遇到的是客户端凭证流调用Microsoft Graph API访问OneDrive时的权限声明问题，我来帮你梳理下可能的原因和解决步骤：

1. 先搞清楚客户端凭证流的权限声明逻辑 #

客户端凭证流属于应用权限模式，对应的JWT令牌里的权限声明是roles，而不是scp（scp是委托权限模式下的声明字段）。所以你解码JWT没看到scopes是正常的，但必须能看到roles字段，里面应该包含你授予的Files.Read、Files.ReadWriteAll等应用权限。如果没有roles，说明权限根本没生效。

2. 检查权限是否真的生效了 #

• 确认管理员同意已完成：应用权限必须由全局管理员或对应的权限管理员点击「授予管理员同意」才会生效，仅仅在应用注册里添加权限但不做同意操作的话，权限是不会加到令牌里的。去Azure门户的应用注册→API权限页面，看看所有应用权限的状态是不是「已授予」。
• 重新获取令牌：权限授予后，旧令牌不会自动更新，必须重新发起令牌请求获取新的令牌，再解码查看roles字段是否出现预期的权限。

3. 客户端凭证流访问用户个人OneDrive的特殊注意事项 #

你通过Graph Explorer的/me端点获取的drive_id是登录用户的个人OneDrive，而客户端凭证流是应用身份，默认访问用户个人OneDrive需要注意：

• 用正确的API路径访问：建议直接用https://graph.microsoft.com/v1.0/users/{user-id}/drive/root/children（这里的user-id是你从/me里拿到的用户ID），而不是直接用/drives/{drive_id}/root/children——虽然理论上后者也可行，但前者更明确，能避免drive_id对应的权限范围问题。
• 确认用户的OneDrive已初始化：如果用户从未登录过OneDrive，可能还没有创建对应的驱动器，这时候也会导致访问失败。

4. 调试验证步骤 #

• 先调用https://graph.microsoft.com/v1.0/drives查看应用能访问的所有驱动器列表，确认你要访问的drive_id是否在其中。
• 检查请求头的Authorization格式是否正确：必须是Bearer <你的令牌>，注意Bearer后面有个空格。
• 你能正常调用/subscriptions说明令牌的受众（aud字段）是正确的（指向https://graph.microsoft.com），所以令牌的基本格式没问题，重点还是权限和访问路径的问题。

5. 权限配置的小提醒 #

你授予的Files.ReadWriteAll应用权限已经足够访问所有用户的OneDrive文件，User.Read和Sites.ReadWriteAll对你当前的场景不是必须的，但也不会造成影响。如果之前没授予Subscriptions.ReadWriteAll却能调用/subscriptions，可能是你之前的权限配置里包含了这个，或者Graph Explorer的上下文和你的应用身份不一样。

按照上面的步骤排查，应该能解决你的问题。

内容的提问来源于stack exchange，提问作者lexus0202