使用有效Access Token时node-ews返回401 Unauthorized问题求助

之前用Basic Auth能正常通过node-ews获取Exchange邮件，现在微软禁用Basic Auth后，用Graph Explorer的OAuth令牌测试却返回401，核心原因和解决方法如下：

核心问题分析 #

1. 令牌受众不匹配：Graph Explorer生成的令牌是给Microsoft Graph API用的，受众（aud字段）是https://graph.microsoft.com，但EWS要求的令牌受众必须是Exchange的服务地址（比如O365的https://outlook.office365.com），受众不匹配直接导致401。
2. 权限不符合要求：EWS需要的权限是EWS.AccessAsUser.All，而Graph Explorer的令牌权限是针对Graph API的，不包含EWS的访问权限。
3. 配置冗余：使用Bearer认证时，不需要再传入username和password，冗余参数可能干扰认证逻辑。

解决步骤 #

1. 获取正确的EWS OAuth令牌 #

不要用Graph Explorer的令牌，必须通过Azure AD注册应用获取针对EWS的令牌：

• 在Azure AD注册一个应用，添加委派权限：Exchange > EWS.AccessAsUser.All，并完成管理员同意（如果是租户级应用）。
• 使用授权码流（推荐）或密码流（仅测试用）获取令牌，确保令牌的aud字段为Exchange服务地址（O365是https://outlook.office365.com，本地Exchange需对应配置），scp字段包含EWS.AccessAsUser.All。
• 可以用jwt.io解析令牌，验证上述字段是否正确。

2. 修正node-ews配置 #

删除冗余的username和password参数，确保配置仅包含必要项：

const ewsConfig = {
  host: item.ews_host, // 例如 O365填'outlook.office365.com'，本地Exchange填对应主机
  token: '你的EWS OAuth令牌',
  auth: 'bearer'
};

const options = {
  rejectUnauthorized: false,
  strictSSL: false
};

const ews = new EWS(ewsConfig, options);

3. 验证令牌有效性 #

先用curl测试令牌是否能正常访问EWS端点，排除node-ews的问题：

curl -H "Authorization: Bearer 你的EWS OAuth令牌" https://outlook.office365.com/EWS/Exchange.asmx

如果返回EWS的XML页面，说明令牌有效，再回到node-ews测试。

额外注意事项 #

• 确保node-ews版本是最新的，旧版本可能存在Bearer认证的兼容性问题。
• 本地Exchange服务器需确认已配置OAuth集成（如AD FS），否则无法使用OAuth访问EWS。

内容的提问来源于stack exchange，提问作者Minhaj Hasan