使用Microsoft Graph API OAuth获取令牌无权限范围及本地开发SSL问题求助

1. 纠正OAuth2授权模式选择 #

• 直接放弃client_credentials和password模式：前者属于应用级授权，完全不符合你仅允许用户访问自身日历的需求；后者已被微软逐步废弃，且强制要求交互式授权，还受SSL限制无法在本地非localhost环境使用。
• 采用授权码模式（Authorization Code Flow）：这是委托授权的标准合规方式，能精准实现用户仅访问自身日历的权限控制。

2. 本地开发绕开SSL限制的可行方案 #

由于Azure AD不允许非localhost的HTTP重定向URI，针对本地非localhost无SSL的情况，推荐两种解决方式：

• 使用反向代理工具映射HTTPS地址：
  1. 用Ngrok、LocalTunnel这类工具，将本地非localhost服务映射为带HTTPS的公网临时地址（比如https://abc123.ngrok.io）。
  2. 在Azure AD应用注册页面，将该HTTPS地址加上回调路径（如https://abc123.ngrok.io/outlook/callback）设置为重定向URI。
  3. Laravel配置文件中同步更新AZURE_REDIRECT_URI为该地址，即可正常触发交互式授权流程。
• 临时切换到localhost开发：
  Azure AD允许localhost的HTTP重定向URI，可临时将本地服务绑定到localhost端口（如http://localhost:8000），在Azure中配置对应的回调地址，开发完成后再切换到正式HTTPS环境。

3. 权限配置与令牌验证要点 #

• 在Azure AD应用注册的「API权限」中，添加委托权限：比如Calendars.ReadWrite，若为租户内应用，需确保管理员已完成权限同意操作。
• 获取令牌后，解析JWT确认scp字段包含所需权限（如Calendars.ReadWrite），避免因权限缺失导致后续API调用失败。

4. Laravel中核心代码实现示例 #

• 构造授权跳转链接：

$authUrl = 'https://login.microsoftonline.com/common/oauth2/v2.0/authorize?' . http_build_query([
    'client_id' => env('AZURE_CLIENT_ID'),
    'response_type' => 'code',
    'redirect_uri' => env('AZURE_REDIRECT_URI'),
    'scope' => 'Calendars.ReadWrite offline_access',
    'response_mode' => 'query',
]);
// 引导用户跳转至该链接完成授权

• 回调接口获取Access Token：

$client = new \GuzzleHttp\Client();
$response = $client->post('https://login.microsoftonline.com/common/oauth2/v2.0/token', [
    'form_params' => [
        'client_id' => env('AZURE_CLIENT_ID'),
        'client_secret' => env('AZURE_CLIENT_SECRET'),
        'code' => $request->input('code'),
        'redirect_uri' => env('AZURE_REDIRECT_URI'),
        'grant_type' => 'authorization_code',
    ],
]);
$tokenData = json_decode($response->getBody(), true);
// 将access_token、refresh_token关联到当前用户保存

• 同步事件到Outlook日历：

$eventData = [
    'subject' => '用户创建的事件标题',
    'start' => ['dateTime' => '2024-06-10T09:00:00', 'timeZone' => 'Asia/Shanghai'],
    'end' => ['dateTime' => '2024-06-10T10:00:00', 'timeZone' => 'Asia/Shanghai'],
    'body' => ['content' => '事件详情内容', 'contentType' => 'Text'],
];

$client->post('https://graph.microsoft.com/v1.0/me/events', [
    'headers' => [
        'Authorization' => 'Bearer ' . $tokenData['access_token'],
        'Content-Type' => 'application/json',
    ],
    'json' => $eventData,
]);

内容的提问来源于stack exchange，提问作者Petitemo