调用Graph.Users.MailFolders请求突然抛出400错误是什么原因？

这个400 AuthenticationError是客户端凭证流调用Graph邮件接口的高频问题，和你重新创建应用注册无关，按以下优先级排查：

• 首先校验你获取访问令牌的请求参数
  客户端凭证流调用Microsoft Graph时，scope参数必须固定为https://graph.microsoft.com/.default，不要使用旧版Outlook资源地址https://outlook.office365.com/，也不要遗漏.default后缀。2024年Q4微软逐步收紧了令牌参数校验，此前部分容错逻辑被移除，参数错误时虽然能正常返回令牌，但调用具体资源时会直接抛出认证错误，和你描述的「周末正常、周一突然失效」的时间特征完全匹配。
• 校验Exchange Online侧的应用访问授权
  你在Azure AD应用注册中配置的Mail.Read、User.Read.All属于Azure AD层面的权限，从2023年开始，应用权限访问用户邮箱还需要在Exchange Online侧配置显式访问策略，此前未配置的租户会陆续结束宽限期，未配置策略的请求会被直接拦截。
  配置操作通过Exchange Online PowerShell执行即可：

  # 连接到当前租户的Exchange Online
  Connect-ExchangeOnline -Organization "你的租户默认域名，格式类似contoso.onmicrosoft.com"
  # 为应用授予指定用户邮箱的访问权限，替换尖括号内的实际值
  New-ApplicationAccessPolicy -AppId "<你的应用注册客户端ID>" -PolicyScopeGroupId "<目标用户的邮箱地址>" -AccessRight RestrictAccess -Description "允许应用读取指定用户邮件数据"
  

  配置完成后等待15-30分钟待策略同步生效后再测试调用。
• 校验令牌本身的合法性
  本地解析你拿到的JWT格式访问令牌（不要将令牌上传到公共解析站点），核对三个核心字段：
  • aud声明值必须为https://graph.microsoft.com，如果值为其他地址说明令牌请求的资源配置错误
  • roles声明数组中必须包含Mail.Read、User.Read.All两个值，如果缺失说明你授予应用权限后未执行管理员同意操作，这是重建应用注册后最容易遗漏的步骤
  • iss声明值必须匹配你当前租户所属云环境的令牌颁发地址，确认没有跨云/跨租户调用的问题
• 校验租户条件访问策略变更
  检查Azure AD条件访问策略配置，确认周末期间没有新增针对Microsoft Graph资源、服务主体访问的阻断规则，也没有开启要求MFA、合规设备的用户侧规则——客户端凭证流属于无用户上下文的认证流，这类要求用户交互的策略会直接拦截请求，抛出资源认证错误。

注：你之前尝试删除重建应用注册没有效果，是因为上述问题点都和应用注册本身的配置无关，重建操作不会触及这些配置项。

内容的提问来源于stack exchange，提问作者Jan Martin