如何在ASP.NET Web Form中无需注册Azure应用即可访问O365日历数据

核心结论 #

• 无法完全跳过Azure应用注册调用Microsoft Graph：微软现在对所有Graph API的请求都要求携带合法的应用身份凭证，没有注册Azure应用的请求会被直接拦截拒绝，哪怕你用用户名密码认证也必须有对应的应用注册信息。
• 如果你需要适配多企业不同AD域的用户，只需要在注册Azure应用时将支持的账户类型设置为「任何组织目录中的账户」即可，不需要为每个接入的企业单独注册应用。

用户名密码调用方案（ROPC流）实现 #

如果你确实需要收集用户的用户名密码直接调用接口，可以使用资源所有者密码凭证（ROPC）流，C#实现步骤如下：

1. 提前完成Azure应用注册：
   • 开启允许公共客户端流开关
   • 配置Calendars.Read等必要的Graph API委托权限
2. 引入对应的NuGet包：Microsoft.Graph、Azure.Identity
3. 示例代码：

using Azure.Identity;
using Microsoft.Graph;

// 初始化Graph客户端
var scopes = new[] { "https://graph.microsoft.com/Calendars.Read" };
var options = new UsernamePasswordCredentialOptions
{
    Authority = "https://login.microsoftonline.com/common"
};
var credential = new UsernamePasswordCredential(
    username: "用户输入的邮箱地址",
    password: "用户输入的密码",
    tenantId: "common",
    clientId: "你注册的Azure应用的Client ID",
    options: options);

var graphClient = new GraphServiceClient(credential, scopes);

// 读取日历数据
var calendars = await graphClient.Me.Calendars.GetAsync();

注意事项 #

• ROPC流不支持开启了多因素认证（MFA）的用户，只要用户所属企业要求MFA，该认证方式就会失败
• 该流的安全性较低，用户密码会经过你的应用侧传输，存在泄露风险，微软官方不推荐生产环境使用
• 如果用户所属企业配置了条件访问策略限制未授权应用的访问，该调用也会被拦截
• 更安全的替代方案是使用授权码流，跳转到微软官方的统一登录页完成认证，不需要你自己收集存储用户密码，同时支持MFA和企业条件访问策略。

内容的提问来源于stack exchange，提问作者Jens EHSYD