Azure OAuth2获取的Access token未包含MS Graph API权限问题咨询

返回的access token无对应权限，核心是参数传参错误、权限类型不匹配、Token字段认知偏差三类问题，逐个修复即可：

核心问题点 #

• 传参方法使用错误：你用的Chilkat组件HttpRequest.AddParam方法固定格式为AddParam(表单字段名, 字段值)，当前代码存在四个传参错误：
  1. 混淆参数顺序，把本该作为值的配置变量放到了字段名的位置，且大量字段值留空
  2. VB语法中字符串常量未加双引号包裹，参数实际传值无效
  3. 错误将tenant参数加入请求体：客户端凭证流的租户ID是拼接在请求URL路径中的，不需要放在表单参数里
  4. 请求结果判断逻辑写反：http.LastMethodSuccess返回True才代表请求发送成功，你现有判断逻辑缺少等号，会把成功请求当成错误直接退出，无法拿到真实返回。
• 权限类型配置错误：浏览器交互登录走的是授权码流，使用的是委托权限；你现在用的client_credentials客户端凭证流是纯后台无用户流，仅识别你给应用授予的应用程序权限。如果你在Azure门户只勾选了委托权限分类下的邮件相关权限，哪怕做了管理员同意，客户端凭证流也无法获取对应权限。
• Token字段认知错误：客户端凭证流返回的Token不会在scp字段下放权限，所有授予的应用权限都会放在roles字段下，你如果按浏览器交互流的经验找scp字段，会误以为没有拿到权限。

修复后的参考代码 #

Dim http As New Chilkat.Http
Dim req As New Chilkat.HttpRequest

' 替换为你的实际配置值
Dim clientId As String = "Azure应用注册页的应用程序(客户端)ID"
Dim clientSecret As String = "你生成的客户端密钥值"
Dim tenantId As String = "你的租户ID"

' 按正确顺序传参，字段名固定为字符串常量
req.AddParam("client_id", clientId)
req.AddParam("client_secret", clientSecret)
req.AddParam("scope", "https://graph.microsoft.com/.default")
req.AddParam("grant_type", "client_credentials")

Dim resp As Chilkat.HttpResponse
' 租户ID直接拼接在请求URL中，不要放入请求体
resp = http.PostUrlEncoded($"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token", req)

' 修正判断逻辑：请求发送失败时打印错误退出
If http.LastMethodSuccess = False Then
    Debug.WriteLine(http.LastErrorText)
    Exit Sub
End If

Dim statusCode As Integer = resp.StatusCode
Debug.WriteLine($"response status code: {statusCode}")
Debug.WriteLine("response body:")
Debug.WriteLine(resp.BodyStr)

后续验证步骤 #

改完代码如果仍有问题，按顺序排查：

1. 拿到返回的access_token后，解析JWT payload查看roles字段，只要该字段下出现你配置的邮件相关权限（如Mail.Read.All），就代表权限获取成功，不要去查scp字段
2. 回到Azure应用注册的权限配置页，确认你添加的邮件相关权限属于「应用程序权限」分类，且所有权限后都显示「已为租户授予管理员同意」的状态，不要选「委托权限」下的同名权限
3. 如果刚修改完权限配置/刚完成管理员同意，等待3-5分钟再测试，Azure AD的权限配置存在缓存延迟，不会立刻生效

内容的提问来源于stack exchange，提问作者Vicky Dawon