请求EWS.AccessAsUser.All委托权限令牌时遇MsalClientException

可能的解决方向 #

1. 确认用户名格式为完整UPN #

ADFS环境下，UsernamePassword流程要求使用用户主体名称（UPN）（如user@yourdomain.com），而非短用户名（如user）。修改代码中的用户名部分，确保传入完整的UPN：

var cred = new NetworkCredential("user@yourdomain.com", securePassword);

2. 确保API权限已获得管理员同意 #

针对https://outlook.office.com/EWS.AccessAsUser.All权限，UsernamePassword流程必须要求管理员已授予同意（个人用户同意不生效）。检查Azure AD应用注册的「API权限」页面，确认该权限的状态为「已授予管理员同意」。

3. 检查ADFS的相关配置 #

• 确认ADFS服务器已启用用户名密码验证：在ADFS管理控制台中，进入「服务」>「身份验证方法」，确保「用户名密码」在对应访问场景（如Intranet）下已启用。
• 检查ADFS与Azure AD的信任关系，确保声明规则能正确颁发包含用户身份信息的令牌，避免因声明缺失导致验证失败。

4. 验证Postman获取的令牌有效性 #

将Postman拿到的令牌通过本地JWT解析工具解码，确认：

• aud（受众）字段值为https://outlook.office.com，与代码中请求的作用域匹配；
• exp（过期时间）未过期；
• 签名验证通过（可对比ADFS的公钥验证签名）。
  若令牌受众不匹配或已过期，调试时使用会直接返回401。

5. 更新MSAL.NET版本 #

确保项目引用的是适配.NET Framework的最新稳定版MSAL.NET（Microsoft.Identity.Client NuGet包），旧版本可能存在ADFS WS-Trust端点解析的兼容性问题。

内容的提问来源于stack exchange，提问作者user1