Angular中通过MSAL获取访问令牌调用Graph订阅API的实现方法

一、核心问题分析 #

你当前代码的主要问题是请求Graph API订阅接口时使用的权限范围（scopes）不正确，订阅接口需要对应资源的权限（比如日历、邮件相关权限），而非user.read这类基础权限。另外，你直接将acquireTokenSilent返回的整个对象拼接进Bearer令牌，这会导致令牌无效，需要提取对象中的accessToken属性值。

二、正确步骤实现 #

1. 确认并配置所需权限 #

Graph API的订阅接口要求对应资源的权限，比如：

• 订阅日历事件：Calendars.Read
• 订阅邮件：Mail.Read
• 订阅联系人：Contacts.Read
  这些权限需要先在Azure AD应用注册中添加，若为租户级应用，还需完成管理员同意操作。

2. 正确获取访问令牌并发起请求 #

修改令牌获取逻辑，替换为对应资源的scopes，并处理令牌获取失败的场景：

async createSubscription(subscription: any) {
  try {
    // 根据订阅的资源类型替换对应的scopes
    const tokenResponse = await this.msalService.acquireTokenSilent({
      scopes: ['https://graph.microsoft.com/Calendars.Read'], // 示例：日历订阅权限
      account: this.msalService.instance.getActiveAccount() // 指定当前登录账户
    });

    // 提取实际的accessToken字符串
    const accessToken = tokenResponse.accessToken;
    
    const headers = new HttpHeaders().set("Authorization", `Bearer ${accessToken}`);
    
    this.http.post('https://graph.microsoft.com/v1.0/subscriptions', subscription, { headers }).subscribe(
      (response) => {
        console.log('订阅创建成功:', response);
      },
      (error) => {
        console.error('订阅创建失败:', error);
        // 处理静默获取令牌失败的情况，弹出登录窗口重新获取
        if (error.errorCode === 'interaction_required') {
          this.msalService.acquireTokenPopup({
            scopes: ['https://graph.microsoft.com/Calendars.Read']
          }).then(popupToken => {
            this.retryCreateSubscription(subscription, popupToken.accessToken);
          });
        }
      }
    );
  } catch (err) {
    console.error('令牌获取失败:', err);
  }
}

// 重试请求的辅助方法
private retryCreateSubscription(subscription: any, token: string) {
  const headers = new HttpHeaders().set("Authorization", `Bearer ${token}`);
  this.http.post('https://graph.microsoft.com/v1.0/subscriptions', subscription, { headers }).subscribe(
    res => console.log('重试订阅成功:', res),
    err => console.error('重试订阅失败:', err)
  );
}

3. 确保订阅请求体格式正确 #

你的subscription对象必须包含Graph API要求的必填字段：

const subscription = {
  changeType: "created,updated", // 监听的事件类型
  notificationUrl: "https://your-domain.com/api/notifications", // 接收通知的HTTPS回调地址（公网可访问）
  resource: "/me/events", // 订阅的资源路径，比如日历事件
  expirationDateTime: new Date(Date.now() + 30 * 24 * 60 * 60 * 1000).toISOString(), // 订阅过期时间（最长30天）
  clientState: "random-validation-string" // 用于验证通知来源的随机字符串
};

三、关键注意事项 #

• 回调地址要求：notificationUrl必须是公网可访问的HTTPS地址，开发阶段可使用ngrok等工具映射本地端口。
• 权限验证：Azure AD应用中添加的权限必须完成管理员或用户同意，否则令牌会缺少对应权限。
• 令牌过期处理：静默获取令牌失败时，需通过弹窗方式重新获取，避免无感知的请求失败。

内容的提问来源于stack exchange，提问作者Syed Shahzaib Ali