EWS GetUserPhoto 从Delegated Auth切换为App-Only认证的报错排查

400 Bad Request（REST形式调用）根因 #

• 切换App-Only后沿用的原委托模式REST路径https://outlook.office365.com/api/v2.0/users/{邮箱地址}/photos/$value，本身不支持客户端凭据（App-Only）类型的令牌校验。该REST路由的授权逻辑仅放行委托模式下带用户身份的访问令牌，对客户端凭据颁发的令牌会直接返回400，和请求格式、权限配置无关，属于端点本身的授权类型不匹配。
• 不存在配置调整能让这个REST路由支持App-Only调用，这是平台层面的路由限制。

500 Internal Server Error（SOAP形式调用）的遗漏配置 #

• 令牌受众不匹配：使用ConfidentialClientApplication获取令牌时，如果沿用Graph API的默认scope（如https://graph.microsoft.com/.default），颁发的令牌受众为Graph资源，而非EWS服务要求的https://outlook.office365.com/。哪怕携带了身份模拟头，EWS服务端解析令牌时识别到资源不匹配，会在内部处理逻辑中直接抛出500，而非返回明确的401鉴权错误。需要将取令牌的scope改为https://outlook.office365.com/.default，确保拿到的令牌受众符合EWS要求。
• AAD权限配置缺失：原委托模式下配置的EWS.AccessAsUser.All属于委托权限，仅支持用户交互式调用。切App-Only时，必须在应用注册的API权限中，为Office 365 Exchange Online（EWS原生API，非Graph对应权限）添加应用程序权限下的full_access_as_app，并完成全局管理员的权限同意流程。如果缺少该应用权限，服务端处理模拟请求时会因无授权直接抛出内部500错误，不会返回明确的403提示。
• Exchange Online侧访问策略未配置：哪怕AAD侧给了full_access_as_app权限，Exchange Online默认会对该权限施加范围限制，必须通过Exchange Online PowerShell为对应服务主体配置ApplicationAccessPolicy，明确授权该服务主体可以访问目标用户的邮箱。未配置该策略时，服务端的访问拦截逻辑会在内部抛错，表现为500响应。
• SOAP请求格式的隐性校验：EWS在App-Only模式下对SOAP请求的参数校验比委托模式严格：
  • 目标端点必须为标准化的https://outlook.office365.com/EWS/Exchange.asmx，不能使用委托模式下带租户上下文的路径
  • ExchangeImpersonation头必须明确指定目标模拟用户的有效SmtpAddress，不能缺失用户类型声明
  • GetUserPhoto操作的SizeRequested参数必须使用EWS版本支持的固定枚举值（如HR648x648），传空值或自定义值会直接触发内部错误
  • SOAP请求头里的RequestServerVersion必须匹配服务端支持的Exchange版本，不能使用过低的版本号

验证流程 #

• 解码拿到的访问令牌，确认aud字段为https://outlook.office365.com/，不符合则调整取令牌的scope
• 核对AAD应用权限列表，确认full_access_as_app应用权限已添加并完成管理员同意
• 核对Exchange Online端的应用访问策略，确认服务主体对目标用户有访问权限
• 按照标准SOAP模板构造GetUserPhoto请求，使用固定枚举的照片尺寸参数，无自定义传值

内容的提问来源于stack exchange，提问作者CresCent