如何在Spring资源服务器通过OBO流调用Microsoft Graph获取日历数据

首先明确一个概念：OBO流属于带用户上下文的委托调用场景，令牌中只要scp声明包含对应权限即可正常调用Graph API，无需roles声明——roles仅在无用户上下文的纯应用调用场景下才会返回，你解码得到的令牌本身权限配置是符合要求的，报错是其他配置问题导致的，可按以下步骤排查解决：

1. 修正Azure AD应用的账户类型配置 #

你使用的是@hotmail类个人微软账号，必须确保应用注册时选择的账户类型为任何组织目录中的帐户和个人 Microsoft 帐户(例如 Skype、Xbox)，如果选择了仅企业组织账户的选项，会导致个人账号的委托权限无法被Graph API正确识别，直接触发NoPermissionsInAccessToken报错。

2. 校准API权限配置 #

• 移除不必要的应用权限：OBO流仅需委托权限即可，多余的应用权限不会直接报错，但容易引发配置逻辑混淆。
• 确认Calendars.Read委托权限的「需要管理员同意」选项设为否：个人微软账号不存在企业管理员，仅需用户本人授权即可，若设为需要管理员同意，权限实际未生效。
• 重新触发用户授权：让用户重新登录前端，确保授权流程中包含日历访问权限的确认，覆盖之前未包含Calendars.Read的旧授权记录。

3. 调整Spring Boot配置 #

检查application.yaml中Graph客户端的scope配置，无需填写完整URL，直接配置权限名即可，参考配置：

azure:
  activedirectory:
    authorization-clients:
      graph:
        scopes:
          - Calendars.Read

4. 校准Graph API请求格式 #

确保你调用日历接口的请求格式正确，Java调用示例如下：

// 从注入的OAuth2AuthorizedClient中获取访问令牌
String accessToken = oAuth2AuthorizedClient.getAccessToken().getTokenValue();
// 构造请求头
HttpHeaders headers = new HttpHeaders();
headers.setBearerAuth(accessToken);
HttpEntity<Void> requestEntity = new HttpEntity<>(headers);
// 调用日历列表接口
ResponseEntity<String> response = restTemplate.exchange(
    "https://graph.microsoft.com/v1.0/me/events",
    HttpMethod.GET,
    requestEntity,
    String.class
);

如果完成以上步骤后仍报错，可先将拿到的OBO令牌通过Postman直接调用Graph日历接口，先排除代码逻辑层面的问题。

内容的提问来源于stack exchange，提问作者Phyxx