客户端凭证流请求Graph API自定义Scope报错问题咨询

首先明确微软身份平台客户端凭证流的核心规则，你遇到的问题是配置细节遗漏导致，按以下步骤逐一校验即可解决：

1. 客户端凭证流Scope规则确认 #

客户端凭证流不支持直接指定单个Graph API权限作为scope，仅支持资源标识/.default格式的scope，你最开始请求https://graph.microsoft.com/AppRoleAssignment.ReadWrite.All触发报错属于预期行为，使用https://graph.microsoft.com/.default是正确写法。

2. 权限未生效的核心排查点 #

使用/.default后未拿到预期权限，100%是以下配置错误导致：

• 权限类型选择错误：在Azure门户应用注册的「API权限」页，你添加的AppRoleAssignment.ReadWrite.All必须是应用权限类型，而非委托权限。委托权限仅适用于有用户登录的授权码流等场景，客户端凭证流作为无用户参与的服务间调用，只会识别应用权限。
• 未授予管理员同意：应用权限必须点击「授予<租户名>的管理员同意」按钮完成全局授权，未经过管理员同意的应用权限不会生效，也不会出现在访问令牌中。
• 配置不匹配：确认你代码中ConfidentialClientApplication初始化时传入的clientId、tenantId、clientSecret/证书，和你配置权限的应用注册参数完全一致，避免误用其他应用的配置。
• 租户配置错误：初始化ConfidentialClientApplication时的tenantId必须填写你企业的实际租户ID/租户域名，不能使用common、consumers这类通用租户标识，客户端凭证流不支持通用租户配置。

3. 访问令牌校验方法 #

你之前看到的openid、profile、offline_access等属于scp声明里的内容，客户端凭证流下授予的应用权限不会出现在scp声明中，而是会出现在JWT令牌的roles数组里。你可以将获取到的access token复制到JWT解码工具中查看roles字段，确认AppRoleAssignment.ReadWrite.All是否存在于该字段中。

4. 修正后的代码参考 #

你原来的scope写法已经正确，确认上述配置后即可正常获取带权限的令牌：

const ccrRequest = {
    scopes: ["https://graph.microsoft.com/.default"],
}
const accessToken = await cca.acquireTokenByClientCredential(ccrRequest)

内容的提问来源于stack exchange，提问作者Jeppe Christensen