SAML登录后Java调用Graph API获取Azure用户头像遇权限错误排查

为什么会出现NoPermissionsInAccessToken错误？ #

你遇到的问题核心是授权模式和API端点不匹配：

• 你使用的client_credentials（客户端凭证）是应用级权限模式，这种模式下生成的Token属于应用本身，没有关联具体的登录用户，而/me这个端点依赖当前用户上下文，自然无法识别这类Token。
• 就算坚持用应用权限调用用户头像，也不能用/me，必须指定具体的用户ID/UPN，同时还要给Azure应用配置对应的应用权限（比如User.Read.All）并获得租户管理员的同意。

正确的解决方式 #

结合你“用户已完成SAML登录，需获取当前登录用户头像”的场景，推荐两种可行方案：

方案1：改用授权码模式获取带用户上下文的Token

既然用户已经通过SAML登录，你的应用可以触发授权码流程来获取包含委托权限的Token：

1. 给Azure AD应用添加User.Read委托权限（该权限无需管理员同意，用户首次授权即可生效）。
2. 调用Token接口时调整参数：

   grant_type=authorization_code
   client_id=<你的客户端ID>
   client_secret=<你的客户端密钥>
   code=<用户登录后生成的授权码>
   redirect_uri=<你的应用回调地址>
   scope=https://graph.microsoft.com/User.Read
   

3. 用新获取的Token调用https://graph.microsoft.com/v1.0/me/photo/$value，就能正常拿到当前用户的头像了。

方案2：保留应用权限，调整API端点与权限配置

如果业务必须使用应用级权限：

1. 给Azure AD应用添加User.Read.All应用权限，并且让租户管理员在Azure门户的应用权限页面点击“授予管理员同意”。
2. 将API端点改为https://graph.microsoft.com/v1.0/users/{user-id}/photo/$value，其中{user-id}需要从SAML响应中提取（比如用户的Object ID或UPN）。

Java中获取用户头像的其他方法 #

除了直接调用REST API，更推荐使用Microsoft Graph SDK for Java，它封装了Token管理和API调用逻辑，代码更简洁易维护：

示例：用授权码模式通过SDK获取当前用户头像

// 初始化凭证与流程
ClientSecretCredential baseCredential = new ClientSecretCredentialBuilder()
    .clientId("你的客户端ID")
    .clientSecret("你的客户端密钥")
    .tenantId("你的租户ID")
    .build();

AuthorizationCodeFlow authFlow = new AuthorizationCodeFlowBuilder()
    .clientId("你的客户端ID")
    .clientSecret("你的客户端密钥")
    .tenantId("你的租户ID")
    .scopes(Collections.singletonList("User.Read"))
    .build();

// 基于授权码生成用户凭证
AuthorizationCodeCredential userCredential = new AuthorizationCodeCredentialBuilder()
    .authorizationCode("用户登录后拿到的授权码")
    .redirectUri("你的应用回调地址")
    .credential(baseCredential)
    .flow(authFlow)
    .build();

// 构建Graph客户端并获取头像
GraphServiceClient<Request> graphClient = GraphServiceClient.builder()
    .credential(userCredential)
    .buildClient();

InputStream photoStream = graphClient.me().photo().content().get();
// 可将InputStream转换为图片文件或Base64字符串用于前端展示

示例：用应用权限通过SDK获取指定用户头像

// 初始化应用级凭证
ClientSecretCredential appCredential = new ClientSecretCredentialBuilder()
    .clientId("你的客户端ID")
    .clientSecret("你的客户端密钥")
    .tenantId("你的租户ID")
    .build();

// 构建Graph客户端并获取头像
GraphServiceClient<Request> graphClient = GraphServiceClient.builder()
    .credential(appCredential)
    .buildClient();

// 用用户Object ID获取头像
InputStream photoStream = graphClient.users("用户的Object ID").photo().content().get();
// 也可使用UPN：graphClient.users("user@yourdomain.com").photo().content().get();

此外，如果SAML响应中包含用户邮箱，还可以尝试通过Exchange Web Services（EWS）获取头像，但这种方式的兼容性和维护成本不如Graph API，不推荐作为首选。

内容的提问来源于stack exchange，提问作者Mario De Carli