无需浏览器生成OneDrive Access Token的技术方案问询

一、无需浏览器/用户交互的Token获取方式：客户端凭据流 #

你的场景是服务器后台自动操作OneDrive，完全不需要用户参与，**客户端凭据流（Client Credentials Flow）**是最适配的方案——这是一种应用级权限的认证方式，不需要用户授权，直接通过应用本身的身份获取Token。

步骤1：在Azure AD中配置应用 #

• 登录Azure门户，注册新的企业应用，账户类型选择「仅限组织目录中的帐户」。
• 为应用添加应用权限（注意不是委托权限）：根据需求选择Files.ReadWrite.All、Sites.ReadWrite.All等OneDrive/SharePoint相关权限，然后点击「授予管理员同意」（必须完成这一步，否则无法获取有效Token）。
• 生成应用的客户端密钥（Client Secret），妥善保存该密钥，后续代码会用到。

步骤2：代码实现Token获取 #

方式1：使用Microsoft Graph SDK（推荐）

以C#为例：

using Microsoft.Graph;
using Azure.Identity;

var clientId = "你的应用Client ID";
var clientSecret = "你的应用Client Secret";
var tenantId = "你的组织租户ID";

var credential = new ClientSecretCredential(tenantId, clientId, clientSecret);
var graphClient = new GraphServiceClient(credential);

// 调用API时SDK会自动处理Token的获取和刷新
var driveItems = await graphClient.Drives["目标Drive ID"].Root.Children.Request().GetAsync();

方式2：直接发送HTTP请求

发送POST请求到Azure AD的令牌端点：

POST https://login.microsoftonline.com/{租户ID}/oauth2/v2.0/token
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials
&client_id={你的应用Client ID}
&client_secret={你的应用Client Secret}
&scope=https://graph.microsoft.com/.default

返回结果中会包含access_token（有效期1小时）和expires_in（过期时间秒数），你可以在代码中记录过期时间，临近过期时重新请求新的Token。

二、长效Token的处理 #

客户端凭据流获取的Token默认有效期为1小时，无法直接生成永久有效的Token，但可以通过自动刷新实现“长效”使用：

• 使用Microsoft Graph SDK时，SDK会自动检测Token是否过期，自动发起刷新请求，无需手动处理。
• 手动HTTP请求的话，需要在代码中维护Token的过期时间，当Token快过期时（比如剩余5分钟），重新调用令牌端点获取新的Token即可。

三、关于原授权码流的说明 #

你之前使用的授权码流属于委托权限，必须经过用户交互（浏览器授权）才能获取Token，完全不适合后台无用户的场景，建议直接切换为客户端凭据流。

内容的提问来源于stack exchange，提问作者dor7123