MS Graph SDK获取不存在用户头像时返回错误码异常问题

这是绑定为租户全局管理员的微软个人账号（MSA）的已知接口行为差异，并非你的代码或Graph SDK存在缺陷。

原因说明 #

• 普通AAD成员用户的头像存储在AAD统一的用户资源池中，头像不存在时Graph接口会返回标准的404响应，对应错误码ImageNotFound。
• 而绑定为租户全局管理员的微软个人账号，头像关联MSA的个人账户存储体系，当头像不存在时，后端跨系统调用链路会返回错误的鉴权失败状态，导致SDK解析得到AadGraphAuthFailed的错误，和实际的鉴权权限没有关系，你已经配置的User.Read权限完全满足头像获取要求。

解决方案 #

你只需要在异常捕获逻辑中增加对AadGraphAuthFailed错误码的兼容即可，将该错误和ImageNotFound统一判定为头像不存在的场景，示例代码修改如下：

catch (ServiceException ex)
{
    // 兼容MSA类型全局管理员的异常返回
    if (ex.Error.Code is "ImageNotFound" or "AadGraphAuthFailed")
    {
        // 此处走头像不存在的业务逻辑，比如设置默认头像
        model.UseDefaultPhoto = true;
    }
    else
    {
        // 其他异常按原有逻辑处理
        throw;
    }
}

优化建议 #

你可以提前判断当前登录用户的账号类型，如果是MSA账号且持有全局管理员角色，直接跳过头像存在性校验，优先使用默认头像，减少不必要的接口调用。

内容的提问来源于stack exchange，提问作者OjM