EWS多租户应用OAuth认证微软个人账户失败，该用EWS还是Graph API？

核心结论 #

微软个人账户（Outlook.com）无法通过EWS的OAuth2.0认证进行访问，必须改用Microsoft Graph API。

原因分析 #

你使用的https://outlook.office365.com/EWS.AccessAsUser.All作用域仅针对Microsoft 365组织账户生效，个人Outlook账户并不支持该EWS专属的OAuth作用域，因此会触发invalid_scope错误。EWS的现代认证支持仅覆盖企业/教育版的Microsoft 365租户账户，不包含个人消费者账户。

解决方案 #

1. 替换OAuth作用域：使用Microsoft Graph对应的日历权限作用域，例如：

   • 只读访问：Calendars.Read
   • 读写访问：Calendars.ReadWrite
   • 若需要离线访问，需额外添加offline_access

2. 调整授权请求：修改授权URL中的scope参数为Graph作用域，示例：

   https://login.microsoftonline.com/common/oauth2/v2.0/authorize?
   client_id=6731de76-14a6-49ae-97bc-6eba6914391e
   &redirect_uri=https%3a%2f%2fmyapp%2fAuthorization%2f%2fRedirect.aspx
   &response_type=code
   &response_mode=query
   &prompt=login
   &scope=Calendars.Read offline_access
   &state=6a155f24-7065-4f75-9fa9-3c1415acf7dd
   &code_challenge=YzuKsJschRNKjuQdbJu5Q2awMmlxmT0QbPD2RI-QKn4
   &code_challenge_method=S256
   

3. 切换API调用：用Microsoft Graph的日历接口替代EWS请求，例如：

   • 获取用户日历事件：GET /me/events
   • 创建日历事件：POST /me/events

内容的提问来源于stack exchange，提问作者Akshay G