请求OAuth2访问令牌遇Error 400：桌面正常Web端及服务器运行异常

针对你在C# Framework 3.5环境下，桌面应用正常但Web应用调用微软Graph OAuth2令牌接口返回400错误的问题，从以下几个方向排查：

1. Client Secret未做URL编码 #

你的代码直接将clientSecret拼接进postData，若密钥包含&、+、%等特殊字符，会导致请求参数解析错误，触发400。桌面环境可能因编码上下文不同未暴露问题，但Web服务器的请求解析严格遵循URL编码规则。

修改代码（添加URL编码逻辑）：

public static string getAccessToken(string clientId, string clientSecret, string tenantId)
{
    var authority = string.Format("https://login.microsoftonline.com/{0}/oauth2/token", tenantId);
    var resource = "https://graph.microsoft.com";
    // 对敏感参数做URL编码
    var encodedClientId = Uri.EscapeDataString(clientId);
    var encodedClientSecret = Uri.EscapeDataString(clientSecret);
    var encodedResource = Uri.EscapeDataString(resource);
    var postData = string.Format("grant_type=client_credentials&client_id={0}&client_secret={1}&resource={2}",
                                encodedClientId, encodedClientSecret, encodedResource);
    var request = (HttpWebRequest)WebRequest.Create(authority);

    request.Method = "POST";
    request.ContentType = "application/x-www-form-urlencoded";

    using (var streamWriter = new StreamWriter(request.GetRequestStream()))
    {
        streamWriter.Write(postData);
        streamWriter.Flush();
    }

    // 捕获WebException获取微软返回的具体错误信息
    try
    {
        var response = (HttpWebResponse)request.GetResponse();
        using (var responseStream = response.GetResponseStream())
        using (var reader = new StreamReader(responseStream))
        {
            var responseString = reader.ReadToEnd();
            tokenResponse tResponse = JsonConvert.DeserializeObject<tokenResponse>(responseString);
            return tResponse.access_token;
        }
    }
    catch (WebException ex)
    {
        using (var errorStream = ex.Response.GetResponseStream())
        using (var reader = new StreamReader(errorStream))
        {
            var errorMsg = reader.ReadToEnd();
            // 可记录日志或抛出带详细信息的异常
            throw new Exception("获取令牌失败：" + errorMsg, ex);
        }
    }
}

2. 强制启用TLS 1.2 #

微软Graph的OAuth端点已不再支持TLS 1.0/1.1，而.NET Framework 3.5默认不启用TLS 1.2。桌面环境可能因系统全局配置强制了TLS版本，但Web服务器的应用池未配置。

在代码开头添加TLS版本强制逻辑：

// Framework3.5中无直接TLS1.2枚举，用数值3072代替
ServicePointManager.SecurityProtocol = (SecurityProtocolType)3072;

3. 配置Web服务器代理 #

若Web服务器需通过代理访问外部网络，需为HttpWebRequest设置代理：

// 设置代理地址与端口
request.Proxy = new WebProxy("http://你的代理地址:端口");
// 若代理需要认证
request.Proxy.Credentials = new NetworkCredential("代理用户名", "代理密码");

4. 手动设置Content-Length #

部分Web服务器环境下，HttpWebRequest不会自动计算请求内容长度，导致请求被拒绝。可手动设置：

byte[] postDataBytes = Encoding.UTF8.GetBytes(postData);
request.ContentLength = postDataBytes.Length;
using (var stream = request.GetRequestStream())
{
    stream.Write(postDataBytes, 0, postDataBytes.Length);
}

另外，通过捕获WebException并读取错误响应内容，能获取微软返回的具体错误码（如invalid_client、invalid_request），可快速定位问题根源。

内容的提问来源于stack exchange，提问作者Cristian Agresta