OAuth2.0认证调用EWS接口抛出401未授权错误问题咨询

401未授权的本质是OAuth令牌受众(aud)声明不匹配：使用https://graph.microsoft.com/.default作为scope申请的令牌，仅能被Microsoft Graph服务验证接受，你调用的是EWS服务端点，EWS无法识别为其他服务签发的令牌，直接拒绝请求。

1. 修复401的配置调整方式 #

根据你实际使用的服务选择对应配置即可，禁止混配Graph和EWS的参数：

• 继续使用EWS（即保留ews-java-api依赖）的场景：
  • 修正Azure应用权限：新建应用时找不到旧版“Exchange API”是因为入口更名，在API权限配置页选择「我的组织使用的API」，搜索Office 365 Exchange Online即为原Exchange API入口，根据你的认证模式配置对应EWS权限：委托认证选EWS.AccessAsUser.All，客户端凭证认证选对应日历操作的应用权限，配置完成后执行管理员授权，不需要配置Graph相关权限。
  • 修正令牌申请scope：委托认证场景scope设置为https://outlook.office365.com/Calendars.Read即可，客户端凭证场景scope设置为https://outlook.office365.com/.default，禁止使用Graph域名下的scope申请调用EWS的令牌。
  • EWS端点保留原有https://outlook.office365.com/EWS/Exchange.asmx配置，无需修改。
• 切换到Microsoft Graph的场景：
  • 完全移除ews-java-api依赖，替换为官方Microsoft Graph Java SDK，所有日历操作调用Graph对应的REST接口，此时使用https://graph.microsoft.com/.default作为scope、配置Graph日历权限才是匹配的，不会出现401错误。

2. 配置Graph API权限时能否沿用EWS的scope和服务地址 #

不可以，核心逻辑如下：

• OAuth权限体系中，权限、scope、服务端点三者是强绑定的。你给应用配置的是Microsoft Graph下的权限，仅在申请Graph资源的scope时生效；申请EWS资源下的scope时，Azure AD会校验应用是否有Exchange Online资源的对应权限，仅配置Graph权限的情况下不会签发带有效权限声明的EWS令牌，调用EWS端点必然被拦截。
• 你之前测试时出现的“配Graph权限用EWS参数能跑通”属于临时异常，一般是旧令牌缓存、租户权限同步延迟导致的，不属于合法配置逻辑，生产环境长期运行会随机出现401/403错误，不可依赖。

内容的提问来源于stack exchange，提问作者Harshith Jain