非交互式脚本ROPC登录遇AADSTS65001未授权问题求助

你遇到的AADSTS65001错误核心原因是：ROPC流程虽然无需交互式登录，但仍要求目标权限已被预先授予同意——要么是用户本人通过交互方式同意，要么是管理员为租户内所有用户批量同意。由于你的脚本是无人值守的，无法触发用户交互同意，因此必须通过管理员同意来解决。

具体解决步骤： #

1. 确认权限可被管理员同意
   进入Azure AD应用注册的「API权限」页面，检查你添加的Mail.ReadWrite等委托权限是否带有「需要管理员同意」标记（通常这类涉及用户数据的权限都需要）。如果权限仅支持用户同意，那么ROPC流程无法使用该权限，需切换为其他支持管理员同意的权限或改用其他认证流程。

2. 授予管理员同意
   在「API权限」页面，点击顶部的「授予管理员同意」按钮（需使用全局管理员、Exchange管理员等具备对应权限的账号登录）。等待页面提示同意成功后，权限状态会变为「已授予」。

   注意：如果该按钮处于灰色不可点击状态，大概率是当前登录账号没有足够的管理员权限，需更换具备权限的账号操作。

3. 重新测试ROPC流程
   完成管理员同意后，再次运行你的Python代码或直接调用token接口，此时应该能正常获取到访问令牌。

更推荐的替代方案：客户端凭据流 #

由于ROPC流程存在安全隐患（需存储用户密码、不支持MFA等），微软并不推荐使用。对于无人值守脚本，**客户端凭据流（Client Credentials Flow）**是更合规、安全的选择：

• 使用应用权限而非委托权限，无需依赖用户账号和密码
• 完全无交互，适合服务端自动化场景
• 示例代码（MSAL Python）：

from msal import ConfidentialClientApplication

app = ConfidentialClientApplication(
    client_id="YOUR_CLIENT_ID",
    client_credential="YOUR_CLIENT_SECRET",
    authority=f"https://login.microsoftonline.com/{YOUR_TENANT_ID}"
)

result = app.acquire_token_for_client(scopes=["https://graph.microsoft.com/.default"])
if "access_token" in result:
    print("获取令牌成功")
else:
    print(f"错误: {result.get('error')}, {result.get('error_description')}")

注意：使用客户端凭据流时，需要在应用注册中添加应用权限（而非委托权限），并同样授予管理员同意。

内容的提问来源于stack exchange，提问作者user2100826