Azure AD认证获Token调用EWS API取文件夹遇权限/代码异常

针对AADSTS500011错误（资源主体找不到） #

• 问题根源是scope格式错误：https://outlook.office365.com/EWS.AccessAsUser.All/.default 写法不符合规范。正确规则是：
  • 若使用用户上下文认证流（如授权码流、用户名密码流），scope直接写 https://outlook.office365.com/EWS.AccessAsUser.All
  • 若使用客户端凭据流，scope才是 https://outlook.office365.com/.default
    你之前把权限名和.default拼接的写法，会导致Azure AD无法识别对应的资源主体。

针对403 Forbidden错误（用https://outlook.office365.com/.default时） #

• 核心原因：EWS的EWS.AccessAsUser.All仅支持委托权限，必须在有用户上下文的场景下使用，不支持无用户的客户端凭据流。如果用客户端凭据流获取Token调用EWS，必然返回403。
• 权限配置核对：
  • 确认应用注册中添加的是Exchange Online的EWS.AccessAsUser.All委托权限，且已完成管理员同意（多租户或全局权限场景下需要）
• 代码逻辑调整：
  • 必须改用用户上下文的认证流，比如授权码流（推荐生产环境）或用户名密码流（仅测试用），不能使用acquireTokenForClient这类客户端凭据方式
  • 调用EWS API时，请求头需正确携带Token：Authorization: Bearer {access_token}，请求地址为 https://outlook.office365.com/EWS/Exchange.asmx

额外验证步骤 #

• 用JWT.ms解析获取到的Token，确认scp字段中包含EWS.AccessAsUser.All，若没有则说明权限未正确获取
• 可先通过Graph Explorer登录目标用户，调用GET https://graph.microsoft.com/v1.0/me/mailFolders，如果能正常返回文件夹列表，说明用户权限无问题，再专注排查EWS调用代码

内容的提问来源于stack exchange，提问作者mac