使用Azure访问令牌调用SP Online REST API时遇受众URI验证失败异常求助

我来帮你拆解这个问题并给出具体的解决步骤：

错误含义 #

这个错误的核心原因很明确：你从Azure AD获取的访问令牌的受众（Audience，即JWT令牌中的aud字段）与SharePoint Online REST API期望的受众不匹配。SharePoint在验证令牌时，会检查令牌的aud值是否符合自己的标识符，一旦不匹配就会抛出这个异常，直接拒绝你的请求。

具体解决步骤 #

• 确认令牌请求的资源标识符正确
  SharePoint Online的资源标识符（也就是你获取令牌时指定的resource参数，或v2端点的scope参数）必须是你的SharePoint站点对应的URL或官方标识符。常见的错误是把资源设成了Microsoft Graph API的地址（https://graph.microsoft.com），这完全不符合SharePoint的要求。正确的格式应该是：

  • 租户级站点：https://<your-tenant>.sharepoint.com
  • 特定子站点：https://<your-tenant>.sharepoint.com/sites/<your-site-name>
  • 或者SharePoint的服务主体ID：00000003-0000-0ff1-ce00-000000000000

• 检查令牌的aud字段值
  你可以用JWT解析工具（比如Java的JJWT库或者离线的本地解析器）解码你拿到的访问令牌，查看aud字段的具体值，确认它和SharePoint API的预期受众完全一致。比如如果你的目标站点是https://contoso.sharepoint.com/projects，那aud值就应该是这个URL。

• 验证应用权限的配置范围
  既然你拥有应用级访问权限，要确认在Azure AD中给应用分配的权限是针对SharePoint Online的（比如Sites.FullControl.All、Sites.ReadWrite.All这类），并且权限的作用范围和你请求令牌时指定的资源匹配。不要把其他服务（比如Graph）的权限混进来。

• 调整Java代码中的令牌请求参数
  根据你使用的Azure AD SDK（ADAL或MSAL），修正资源/范围参数：

  • 如果用ADAL（适用于v1端点）：

    // 确保第一个参数是正确的SharePoint资源地址
    AuthenticationContext context = new AuthenticationContext("https://login.microsoftonline.com/<your-tenant-id>", false, Executors.newSingleThreadExecutor());
    ClientCredential credential = new ClientCredential("<your-client-id>", "<your-client-secret>");
    Future<AuthenticationResult> resultFuture = context.acquireToken("https://<your-tenant>.sharepoint.com", credential, null);
    AuthenticationResult tokenResult = resultFuture.get();
    

  • 如果用MSAL（适用于v2端点）：

    // scope设置为SharePoint资源 + /.default，代表应用级权限
    ClientCredentialParameters parameters = ClientCredentialParameters
        .builder(Collections.singleton("https://<your-tenant>.sharepoint.com/.default"))
        .build();
    CompletableFuture<IAuthenticationResult> future = app.acquireToken(parameters);
    IAuthenticationResult result = future.get();
    

内容的提问来源于stack exchange，提问作者Thavamani Kasi