C#实现Modern OAuth调用Microsoft EWS读取Outlook邮件时遇403错误

你遇到的403 Forbidden错误，在客户端凭证模式调用EWS时，大多和权限配置不完整有关，以下是针对性排查和解决步骤：

1. 确认Azure AD应用权限配置 #

客户端凭证模式必须使用应用权限（而非委托权限）：

• 登录Azure AD门户，找到你的应用注册
• 进入「API权限」页面，点击「添加权限」→ 选择「Exchange」→ 选择「应用权限」
• 勾选Exchange.ManageAsApp权限，然后点击「授予管理员同意」（必须全局管理员操作）

2. 配置Exchange Online应用Impersonation权限 #

仅Azure AD权限不够，还需在Exchange中分配应用 impersonation 权限：

方法1：PowerShell（Exchange Online） #

执行以下命令（替换占位符）：

Connect-ExchangeOnline
New-ApplicationAccessPolicy -AppId <你的应用ID> -PolicyScopeGroupId myname@mydomain.com -AccessRight Impersonation -Description "Allow app to impersonate target mailbox"

方法2：Exchange Admin Center #

• 进入Exchange管理中心 → 「权限」→ 「应用权限」
• 点击「添加应用」，搜索并选择你的Azure AD应用
• 分配「Impersonation」权限，保存配置

3. 验证令牌有效性 #

获取到token后，使用JWT解析工具解析，检查roles字段是否包含Exchange.ManageAsApp：

• 如果没有该角色，说明Azure AD的权限未正确生效，重新执行「授予管理员同意」操作，或等待权限同步（通常15分钟内）

4. 代码细节检查 #

你的代码整体逻辑没问题，但可以补充验证：

• 确认ImpersonatedUserId的SMTP地址myname@mydomain.com是存在且正常的Exchange Online邮箱
• 确保X-AnchorMailbox头的值和 impersonate 的邮箱地址一致

附上格式化后的代码：

static void Main(string[] args)
{
    MainTask().Wait();
}

static async System.Threading.Tasks.Task MainTask()
{
    // Using Microsoft.Identity.Client 4.22.0
    var cca = ConfidentialClientApplicationBuilder
        .Create(ConfigurationManager.AppSettings["appId"])
        .WithClientSecret(ConfigurationManager.AppSettings["clientSecret"])
        .WithTenantId(ConfigurationManager.AppSettings["tenantId"])
        .Build();
    ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
    var ewsScopes = new string[] { "https://outlook.office365.com/.default" };

    try
    {
        var authResult = await cca.AcquireTokenForClient(ewsScopes)
            .ExecuteAsync();

        // Configure the ExchangeService with the access token
        var ewsClient = new ExchangeService();
        ewsClient.Url = new Uri("https://outlook.office365.com/EWS/Exchange.asmx");
        ewsClient.Credentials = new OAuthCredentials(authResult.AccessToken);
        ewsClient.ImpersonatedUserId =
            new ImpersonatedUserId(ConnectingIdType.SmtpAddress, "myname@mydomain.com");
        
        //Include x-anchormailbox header
        ewsClient.HttpHeaders.Add("X-AnchorMailbox", "myname@mydomain.com");

        // Make an EWS call
        var folders = ewsClient.FindFolders(WellKnownFolderName.Inbox, new FolderView(10));
        foreach (var folder in folders)
        {
            Console.WriteLine($"Folder: {folder.DisplayName}");
        }
    }
    catch (MsalException ex)
    {
        Console.WriteLine($"Error acquiring access token: {ex}");
    }
    catch (Exception ex)
    {
        Console.WriteLine($"Error: {ex}");
    }

    if (System.Diagnostics.Debugger.IsAttached)
    {
        Console.WriteLine("Hit any key to exit...");
        Console.ReadKey();
    }
}

内容的提问来源于stack exchange，提问作者Narendran