个人账号EWS OAuth认证成功后调用服务提示令牌无效

你的配置存在3个核心错误，是导致令牌无效的直接原因：

• 权限范围不匹配：你替换后的User.Read、Contacts.ReadWrite.Shared是Microsoft Graph API的专属权限，用这类权限申请到的令牌受众为Graph服务端点，EWS服务无法识别该类令牌，会直接返回无效错误。
• 重定向地址配置错误：你配置的https://login.live.com/oauth20_desktop.srf是旧版Live Connect认证端点的重定向地址，和当前使用的MSAL Azure AD v2.0 多受众认证流程不兼容，会导致签发的令牌版本、受众不符合EWS要求。
• EWS专属权限未正确配置：无论组织账号还是个人微软账号（MSA），调用EWS接口都必须使用EWS专属的委托权限，不能替换为Graph API权限。同时支持两类账号的EWS权限范围有统一的配置值，不需要拆分组织/个人两套权限。

1. 首先确认你使用的ClientId对应的Azure AD应用注册，已将支持的账户类型设置为任何组织目录中的账户和个人Microsoft账户，并在公共客户端配置中添加重定向地址https://login.microsoftonline.com/common/oauth2/nativeclient。
2. 修正认证配置和权限范围，移除旧的Live重定向地址，使用正确的EWS权限范围。
3. 个人账号不支持EWS模拟功能，保持ImpersonatedUserId配置注释状态即可。

var pcaOptions = new PublicClientApplicationOptions {
    ClientId = "77xxxxxxxxxxx92324",
    RedirectUri = "https://login.microsoftonline.com/common/oauth2/nativeclient",
    AadAuthorityAudience = AadAuthorityAudience.AzureAdAndPersonalMicrosoftAccount
};

var pca = PublicClientApplicationBuilder.CreateWithApplicationOptions(pcaOptions).Build();

// 统一使用支持组织+个人账号的EWS委托权限
var ewsScopes = new string[] { "https://outlook.office.com/EWS.AccessAsUser.All" };

var authResult = await pca.AcquireTokenInteractive(ewsScopes).ExecuteAsync();

var ewsClient = new ExchangeService();
ewsClient.Url = new Uri("https://outlook.office365.com/EWS/Exchange.asmx");
ewsClient.Credentials = new OAuthCredentials(authResult.AccessToken);

// 调用EWS接口
var folders = ewsClient.FindFolders(WellKnownFolderName.MsgFolderRoot, new FolderView(10));

如果仍报错，可以解析获取到的access_token的payload部分，确认aud（受众）声明值为https://outlook.office.com，如果显示为https://graph.microsoft.com则说明权限范围仍未配置正确。

内容的提问来源于stack exchange，提问作者Antony