使用@azure/msal-node获取Outlook个人账户OAuth 2.0令牌失败求助

1. 检查Azure AD应用注册的账户支持类型 #

确保你的应用注册在Azure AD中设置的支持的账户类型为：任何组织目录中的账户和个人Microsoft账户（例如Skype、Xbox、Outlook.com）。如果之前只选了组织账户，个人账户会直接认证失败，导致token请求返回400错误。

2. 验证权限范围（SCOPES_OUTLOOK） #

针对IMAP/POP/SMTP的OAuth认证，必须使用官方指定的v2权限范围：

• https://outlook.office.com/IMAP.AccessAsUser.All
• https://outlook.office.com/POP.AccessAsUser.All
• https://outlook.office.com/SMTP.Send
  如果你的SCOPES_OUTLOOK用了错误的范围（比如v1端点权限、无关的Graph API范围），个人账户会拒绝授权或返回无效请求。

3. 修正token请求中的client_secret编码问题 #

你代码里对client_secret做了encodeURI处理，但got库的form参数会自动对表单数据做URL编码，手动编码会导致参数值被双重编码，直接引发400错误。移除编码处理：

'client_secret': SECRET_VALUE_OUTLOOK,

4. 用msal-node内置方法获取令牌，避免手动构造请求 #

手动调用token端点容易出错，建议改用@azure/msal-node的acquireTokenByCode方法处理授权码交换，它会自动处理参数编码、端点选择等细节：

exp.get('/redirect', async function (req, res) {
  try {
    const tokenRequest = {
      code: req.query.code,
      scopes: SCOPES_OUTLOOK,
      redirectUri: 'http://localhost:4220/redirect',
    };

    const response = await publicMicrosoftClient.acquireTokenByCode(tokenRequest);
    respToken = response.accessToken;
    // 后续业务逻辑...
  } catch (error) {
    console.log(error);
    res.end();
  }
});

5. 确认授权码与redirect_uri的有效性 #

• 授权码只能使用一次，重复使用会直接报错
• 确保redirect_uri和获取授权码时的完全一致（包括http/https、端口、路径，大小写敏感）

6. 查看具体错误详情 #

捕获400响应的完整body内容，微软的token端点会返回明确的错误描述（比如invalid_scope、invalid_client），能直接定位问题：

catch (error) {
  console.log('错误详情:', error.response?.body);
  res.end();
}

内容的提问来源于stack exchange，提问作者Yan