MVC Core应用调用Azure AD Graph API的getMemberObjects接口报错求助

我来帮你梳理下遇到的问题，你碰到的两个核心点：getMemberObjects的请求方式要求，以及权限报错的排查，咱们一步步解决：

1. 先搞定正确的POST请求格式 #

你说得对，这个端点确实要求用POST方法，而且不能传空请求体——它需要你明确指定要返回的对象类型参数。

正确的请求体是一个JSON对象，包含两个布尔值参数：

{
  "securityEnabledOnly": false,
  "mailEnabledOnly": false
}

• securityEnabledOnly: 设为true只会返回安全启用的组；false则返回所有类型的组
• mailEnabledOnly: 设为true只会返回邮件启用的组；false则返回所有类型的组

修改后的C#代码应该是这样的（记得引入JSON序列化的包，比如Newtonsoft.Json或者System.Text.Json）：

var authenticationContext = new AuthenticationContext(ctx.Options.Authority);
var clientCredentials = new ClientCredential(ctx.Options.ClientId, ctx.Options.ClientSecret);
var result = await authenticationContext.AcquireTokenAsync("https://graph.windows.net", clientCredentials);

using (var httpClient = new HttpClient())
{
    httpClient.DefaultRequestHeaders.Add("Authorization", $"Bearer {result.AccessToken}");
    
    // 构造符合要求的请求体
    var requestBody = new 
    {
        securityEnabledOnly = false,
        mailEnabledOnly = false
    };
    var jsonBody = JsonConvert.SerializeObject(requestBody);
    var content = new StringContent(jsonBody, Encoding.UTF8, "application/json");
    
    var httpResponse = await httpClient.PostAsync("https://graph.windows.net/TENANTID/users/USERID/getMemberObjects?api-version=1.6", content);
    var jsonresult = await httpResponse.Content.ReadAsStringAsync();
}

2. 解决Authorization_RequestDenied权限报错 #

你已经配置了Directory.Read.All应用权限，但还是报错，大概率是这几个原因：

• 权限未完成管理员同意：应用级别的权限必须由Azure AD全局管理员/目录管理员授予同意。你可以登录Azure门户，找到你的应用注册，进入「API权限」页面，点击「授予管理员同意」按钮（需要管理员权限操作）。
• 权限的API范围不对：要确认你配置的Directory.Read.All是属于Azure AD Graph API的，而不是Microsoft Graph API——这两个是完全独立的API，权限不能通用。你的代码里请求的是Azure AD Graph（https://graph.windows.net），所以权限必须对应到这个API下。
• 令牌受众验证：确保你获取的令牌受众是https://graph.windows.net，可以通过解码令牌（比如用jwt.io）来确认aud字段是否正确。

额外建议：迁移到Microsoft Graph API #

Azure AD Graph API已经被微软弃用了，官方推荐使用Microsoft Graph API来替代。对应的获取用户组成员的接口是GET /users/{id}/memberOf，是GET请求，使用起来更简单，而且生态更完善。如果你是新开发的应用，建议直接迁移，示例代码如下：

// 注意资源改为Microsoft Graph的地址
var result = await authenticationContext.AcquireTokenAsync("https://graph.microsoft.com", clientCredentials);

using (var httpClient = new HttpClient())
{
    httpClient.DefaultRequestHeaders.Add("Authorization", $"Bearer {result.AccessToken}");
    var httpResponse = await httpClient.GetAsync("https://graph.microsoft.com/v1.0/users/USERID/memberOf");
    var jsonresult = await httpResponse.Content.ReadAsStringAsync();
}

对应的应用权限还是Directory.Read.All（同样需要管理员同意）。

内容的提问来源于stack exchange，提问作者mattruma