MVC应用登录后如何获取微软账户头像？ClaimsPrincipal及API问题

你已经通过ClaimsPrincipal成功拿到了用户名、邮箱和用户ID，但在获取头像时遇到了两个问题，我来帮你逐一解决：

为什么旧的Live API调用失败？ #

你尝试的https://apis.live.net/v5.0/{USER_ID}/picture?type=large属于旧版的Microsoft Live Connect API，这个服务已经被Microsoft Graph API取代，所以现在这个路径不再被支持，直接放弃这个调用方式就好。

如何正确使用Microsoft Graph API获取头像？ #

调用https://graph.microsoft.com/v1.0/me/photo/$value是正确的方向，但确实需要传递有效的访问令牌（Access Token），而不是你当前用ClaimsPrincipal拿到的ID Token。下面是具体步骤：

1. 确保应用配置了正确的权限 #

首先在Azure AD的应用注册中，添加Delegated权限：

• 搜索并添加User.Read（基础权限，允许读取用户基本信息包括头像）
• 或者User.ReadBasic.All（如果需要访问其他用户的头像，但你只需要当前登录用户的话User.Read足够）
  添加后记得点击"授予管理员同意"（如果是企业租户应用），或者让用户在登录时授权这个权限。

2. 获取Access Token #

在ASP.NET Core应用中，你可以通过HttpContext直接获取当前用户的Access Token：

var accessToken = await HttpContext.GetTokenAsync("access_token");

如果你的应用是用Microsoft.Identity.Web包构建的（现在推荐的方式），也可以注入ITokenAcquisition服务来获取令牌：

private readonly ITokenAcquisition _tokenAcquisition;

public YourController(ITokenAcquisition tokenAcquisition)
{
    _tokenAcquisition = tokenAcquisition;
}

var accessToken = await _tokenAcquisition.GetAccessTokenForUserAsync(new[] { "User.Read" });

3. 调用Graph API获取头像 #

拿到令牌后，就可以调用API获取头像了，示例代码：

using var httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

try
{
    var response = await httpClient.GetAsync("https://graph.microsoft.com/v1.0/me/photo/$value");
    response.EnsureSuccessStatusCode(); // 如果没有头像会返回404，这里可以捕获处理

    // 将响应转换成图片流，比如显示在页面上或者保存到本地
    var imageStream = await response.Content.ReadAsStreamAsync();
    // 后续处理：比如返回FileResult给前端，或者保存到服务器
}
catch (HttpRequestException ex)
{
    // 处理异常：比如用户没有头像、令牌无效等情况
}

补充说明 #

• 如果用户没有设置Outlook头像，Graph API会返回404 Not Found，记得在代码中捕获这个情况，给出友好提示。
• 你之前用ClaimsPrincipal.Current.FindFirst(ClaimTypes.NameIdentifier).Value拿到的用户ID，在Graph API中也可以用来替代me，比如https://graph.microsoft.com/v1.0/users/{USER_ID}/photo/$value，但用me更简洁，因为是当前登录用户。

内容的提问来源于stack exchange，提问作者Beena Gupta