如何使用客户端凭据流为ASP.NET Core Web API配置Microsoft.Graph

关于令牌自动刷新的问题 #

你不需要担心令牌过期导致服务不可用的问题：你当前使用的ClientSecretCredential属于Azure Identity库提供的官方凭证类，该类内置了访问令牌内存缓存、自动刷新逻辑，只要你的客户端密钥有效，GraphServiceClient每次发起请求时都会自动从凭证类获取有效令牌，令牌过期时会自动发起请求获取新的令牌，不需要你做任何手动处理，单例注册的MsGraphClient里的GraphServiceClient可以长期正常使用。

更优的配置方案 #

ASP.NET Core环境下更推荐使用官方的依赖注入扩展来注册相关服务，不需要自行封装单例服务，配置更简洁也更符合ASP.NET Core的服务设计规范：

1. 首先安装必要的NuGet包：Microsoft.Graph、Azure.Identity、Microsoft.Extensions.Azure
2. 在Program.cs中直接注册服务：

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddClientSecretCredential(
        tenantId: builder.Configuration["AppConfig:TenantId"],
        clientId: builder.Configuration["AppConfig:ClientId"],
        clientSecret: builder.Configuration["AppConfig:ClientSecret"]
    );
});

// 注册GraphServiceClient单例
builder.Services.AddSingleton(sp =>
{
    var credential = sp.GetRequiredService<ClientSecretCredential>();
    // 客户端凭据流固定使用.default scope
    string[] scopes = new[] { "https://graph.microsoft.com/.default" };
    return new GraphServiceClient(credential, scopes);
});

3. 之后在你的控制器、请求处理程序或者业务服务中直接注入GraphServiceClient即可使用，不需要额外自定义MsGraphClient类。

如果你的业务场景确实需要封装Graph相关的通用操作，保持你现有MsGraphClient的封装逻辑也完全没问题，只要将其注册为单例即可，令牌刷新逻辑不会出现问题。

额外注意事项 #

• 不要硬编码客户端密钥、租户ID等敏感信息，建议使用环境变量、Azure Key Vault等方式存储敏感配置，不要直接写在明文配置文件中提交到代码仓库
• 客户端凭据流使用的是应用级权限，需要提前在Azure Portal的应用注册页面授予对应的Graph API权限，并且完成管理员同意后才能正常调用接口

内容的提问来源于stack exchange，提问作者gonzaleznicolas