PHP调用Microsoft Graph API无重定向获取AccessToken并关联用户的实现方法

问题根因 #

1. 你混淆了两种OAuth授权流的参数：你使用的grant_type=client_credentials（客户端凭据流，无用户交互场景专用）不需要传入username和password参数，这两个是资源所有者密码凭据（ROPC）流的专属参数，参数错误直接导致令牌请求失败。
2. 客户端凭据流无用户上下文，后续调用Microsoft Graph时不能使用/me端点，/me仅适用于有用户登录的授权场景，无用户场景必须明确指定要操作的用户ID或用户主体名（UPN）。

正确实现步骤 #

1. 先完成Azure AD应用配置 #

• 进入Azure门户的应用注册页面，找到你创建的应用，在「API权限」板块添加应用权限（注意不要选委托权限），日历同步场景按需选择Calendars.Read或Calendars.ReadWrite权限，添加完成后必须点击「授予管理员同意」完成权限激活。
• 确认你配置的azure.scopes参数值为https://graph.microsoft.com/.default，客户端凭据流仅支持该固定格式的scope。

2. 修正获取AccessToken的代码 #

删除请求参数里多余的username和password字段，修正后的代码如下：

$guzzle = new \GuzzleHttp\Client();
$url='https://login.microsoftonline.com/'.config('azure.tenantId').'/oauth2/v2.0/token';
$token = json_decode($guzzle->post($url, [
    'form_params' => [
       'grant_type'    => 'client_credentials',
       'client_id'     => config('azure.appId'),
       'client_secret' => config('azure.appSecret'),
       'scope'         => config('azure.scopes'),
    ],
])->getBody()->getContents());
$accessToken = $token->access_token;

3. 修正Microsoft Graph调用代码 #

将/me端点替换为指定用户的路径，比如要同步邮箱为targetuser@yourdomain.com的用户数据，写法如下：

$graph = new Graph();
$graph->setAccessToken($accessToken);

$user = $graph->createRequest('GET', '/users/targetuser@yourdomain.com?$select=displayName,mail,mailboxSettings,userPrincipalName')
    ->setReturnType(Model\User::class)
    ->execute();

$tokenCache = new TokenCache();
$tokenCache->storeTokens($accessToken, $user);

// 后续获取日历事件的请求同理，路径为 /users/{用户标识}/events

注意事项 #

• 应用权限默认允许应用访问租户内所有用户的日历，如果需要限制应用仅能访问特定用户的日历，可以在Exchange Online中配置应用访问策略做权限限制。
• 确保你使用的client_secret未过期，租户ID、客户端ID配置正确，否则也会导致令牌请求失败。

内容的提问来源于stack exchange，提问作者Simo OM