Microsoft Graph API请求失败 程序无报错退出问题求助

问题现象 #

• 需求为从Azure AD应用拉取用户数据，已完成身份验证提供程序选型匹配
• 首次采用客户端密钥提供程序，通过GraphServiceClient发起请求时，程序无任何错误提示直接终止，先后测试await graphClient.Users.Request().GetAsync()、await graphClient.Me.Request().GetAsync()接口均执行失败
• 后续改用硬编码凭据的用户名/密码提供程序完成认证配置，发起请求时程序依旧无报错直接退出

当前实现代码如下：

var options = new TokenCredentialOptions
{
    AuthorityHost = AzureAuthorityHosts.AzurePublicCloud
};

//var clientSecretCredential = new ClientSecretCredential(TenantId, ClientId, secret, options);

var userName = "myUserName";
var password = "myPassword";

var creds = new UsernamePasswordCredential(userName, password, TenantId, ClientId, options);

var graphClient = new GraphServiceClient(creds, scopes);

try
{
    var users = await graphClient.Users.Request().GetAsync();

    foreach (var user in users)
    {
        Debug.WriteLine(user.DisplayName);
    }
}
catch(Exception ex)
{
    Debug.WriteLine(ex.Message);
}

根因与修复方案 #

• 权限与接口不匹配
  客户端密钥流属于纯应用身份，无登录用户上下文，禁止调用/me相关接口，该接口仅支持带登录用户上下文的委托身份调用。调用/users列表接口时，客户端密钥流需要给应用授予User.Read.All应用权限并完成管理员同意，未配置对应权限时请求会被Azure AD直接拦截。
  用户名密码流属于委托身份，调用/users列表需要授予User.Read.All委托权限，调用/me接口仅需基础User.Read委托权限，两类权限不可混用。
• 异常捕获范围不足
  现有代码仅捕获普通Exception，未覆盖鉴权阶段抛出的AuthenticationFailedException、AggregateException，令牌获取阶段抛出的未捕获异常会直接导致进程退出。补充全局未处理异常捕获逻辑，即可拿到具体错误信息定位问题。
• 用户名密码流使用限制
  该认证方式本身存在大量使用限制：不支持开启MFA多因素认证的账号、不支持联邦域账号、不支持配置了条件访问策略的租户，符合上述任意一种场景时都无法正常获取令牌。
• Scopes配置错误
  调用Microsoft Graph接口时，scope必须配置为https://graph.microsoft.com/.default，scope值配置错误会直接导致令牌获取失败，不会进入接口请求逻辑。

生产环境优先使用客户端密钥流这类客户端凭证模式，用户名密码流安全风险高、使用限制多，仅建议用于本地测试场景。

内容的提问来源于stack exchange，提问作者hlaliberte