Flutter调用Microsoft Graph API创建用户返回401错误求助

以下是针对性的排查与解决步骤：

1. 确认访问令牌的正确性 #

首先确保你从token请求响应中提取的是**access_token字段**，而非id_token或其他字段。解析代码需正确：

final Map<String, dynamic> tokenData = jsonDecode(response.body);
final String token = tokenData['access_token']; // 核心：提取正确的令牌字段

将提取到的token用JWT解析工具检查关键信息：

• aud（受众）：必须为https://graph.microsoft.com，否则令牌无法用于Graph API
• roles：必须包含Directory.ReadWrite.All权限（创建用户需要该应用级权限）
• exp（过期时间）：确保令牌未过期

2. 检查请求头格式 #

验证Authorization头的格式完全合规：

• 格式必须是Bearer {token}，注意Bearer后面有且仅有一个空格
• 确保token字符串无多余引号、换行或空格（比如解析时误将JSON的引号包含进token）

3. 切换至v2.0令牌端点 #

你当前使用的是旧版v1令牌端点，尝试切换到微软推荐的v2.0端点，用scope参数替代resource：

final response = await http.post(
  Uri.parse('https://login.microsoft.com/tenant-id/oauth2/v2.0/token'),
  headers: {
    "Content-Type": "application/x-www-form-urlencoded",
  },
  body: {
    "grant_type": "client_credentials",
    "client_id": "client-id",
    "client_secret": "client-secret",
    "scope": "https://graph.microsoft.com/.default"
  },
);

v2端点生成的令牌在权限映射和兼容性上更稳定，可能解决旧端点令牌的验证问题。

4. 验证应用权限配置 #

再次确认Azure AD应用注册的权限设置：

• 已添加**Directory.ReadWrite.All应用权限**（不是委派权限）
• 已完成管理员同意（client_credentials模式必须手动授予管理员同意，否则权限不生效）

5. 获取详细错误信息 #

在Flutter请求中打印响应body，获取401错误的具体描述：

final response = await http.post(Uri.parse(url), headers: headers, body: body);
print(response.statusCode);
print(response.body); // 打印错误详情

常见的401子错误：invalid_token（令牌格式错误）、invalid_audience（受众不匹配）、insufficient_permissions（权限不足），根据具体信息可快速定位问题。

内容的提问来源于stack exchange，提问作者Sumchans