使用MS Graph SDK访问Outlook共享日历遇权限调用问题求助

错误根源 #

你之前参考的是客户端凭据流（应用权限）的代码，但Postman里用的是委托权限流（用户授权），两者的认证逻辑完全不同：

• /me 仅支持委托流，因为它代表当前授权的用户，客户端凭据流没有用户上下文，所以报错。
• 调用Users/{user}时，若你配置的是委托权限但用了客户端凭据流，会因权限不匹配被拒绝。

步骤1：确认Azure AD权限配置 #

确保你的应用注册中：

• 添加了委托权限（而非应用权限）Calendars.Read，如需访问其他用户日历，还需添加Calendars.Read.All或Calendars.Read.Shared。
• 已完成权限同意（管理员同意或用户自行同意）。

步骤2：实现委托权限流（两种常见场景） #

场景1：ASP.NET Core Web应用（推荐，封装完善）

1. 安装NuGet包：

Install-Package Microsoft.Identity.Web
Install-Package Microsoft.Identity.Web.MicrosoftGraph

2. 在appsettings.json中配置认证参数：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "TenantId": "你的租户ID",
  "ClientId": "你的应用ID",
  "ClientSecret": "你的应用密钥",
  "CallbackPath": "/signin-oidc"
},
"DownstreamApi": {
  "MicrosoftGraph": {
    "BaseUrl": "https://graph.microsoft.com/v1.0",
    "Scopes": "Calendars.Read"
  }
}

3. 在Program.cs中注册服务：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddMicrosoftGraph(builder.Configuration.GetSection("DownstreamApi:MicrosoftGraph"))
    .AddInMemoryTokenCaches();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

4. 在控制器中注入并调用Graph API：

public class CalendarController : Controller
{
    private readonly GraphServiceClient _graphClient;

    public CalendarController(GraphServiceClient graphClient)
    {
        _graphClient = graphClient;
    }

    public async Task<IActionResult> GetMyCalendars()
    {
        // 委托流支持/me，代表当前登录用户
        var calendars = await _graphClient.Me.Calendars.Request().GetAsync();
        return Ok(calendars);
    }

    // 如需访问其他用户日历（需对应权限）
    public async Task<IActionResult> GetUserCalendars(string userId)
    {
        var calendars = await _graphClient.Users[userId].Calendars.Request().GetAsync();
        return Ok(calendars);
    }
}

场景2：非ASP.NET Core应用（手动实现授权码流）

1. 安装NuGet包：

Install-Package Microsoft.Graph
Install-Package Microsoft.Identity.Client

2. 手动完成授权码流程：

using Microsoft.Graph;
using Microsoft.Identity.Client;

// 1. 配置参数
var clientId = "你的应用ID";
var clientSecret = "你的应用密钥";
var tenantId = "你的租户ID";
var redirectUri = "你的回调地址（如https://yourapp/callback）";
var scopes = new[] { "Calendars.Read" };

// 2. 引导用户到授权页面（前端跳转此URL）
var authUrl = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/authorize?client_id={clientId}&response_type=code&redirect_uri={Uri.EscapeDataString(redirectUri)}&scope={Uri.EscapeDataString(string.Join(" ", scopes))}";

// 3. 用户授权后，从回调请求中获取授权码code
string code = "从回调中获取的授权码";

// 4. 用授权码交换访问令牌
var confidentialClient = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .WithRedirectUri(redirectUri)
    .Build();

var tokenResult = await confidentialClient.AcquireTokenByAuthorizationCode(scopes, code).ExecuteAsync();

// 5. 构建Graph客户端并调用API
var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(request =>
{
    request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", tokenResult.AccessToken);
    return Task.CompletedTask;
}));

// 调用当前用户日历
var myCalendars = await graphClient.Me.Calendars.Request().GetAsync();
// 调用指定用户日历（需Calendars.Read.All权限）
var userCalendars = await graphClient.Users["example@example.com"].Calendars.Request().GetAsync();

关键注意事项 #

• 委托权限流必须经过用户授权，因此必须先引导用户完成登录授权步骤，才能获取包含用户身份的令牌。
• 访问其他用户日历需确保已添加对应委托权限并完成同意，否则会触发"Access is denied"错误。

内容的提问来源于stack exchange，提问作者Daniel