嘿，我刚看到你的问题，作为Azure AD和Outlook Graph API的老玩家，我来给你捋捋为啥会出现这个情况，以及怎么解决～

首先得明确：你直接用Java发送HTTP请求到https://login.microsoftonline.com/common/oauth2/v2.0/authorize后返回登录页面，这其实是授权码流程的正常表现——因为Azure AD需要验证用户身份，还得让用户同意你的应用请求的Outlook邮件权限（比如Mail.Read）。除非用户已经登录过并且同意过权限，否则都会跳转到登录页面。

接下来分两种常见场景给你具体解决方案：

场景1：交互式应用（有用户操作浏览器的场景，比如桌面APP、Web应用） #

如果你的应用是需要用户参与的（比如用户要自己登录邮箱授权），那正确的流程不是直接用Java请求这个端点，而是：

1. 构造正确的授权URL，让用户在浏览器中打开它
2. 用户登录并同意权限后，Azure AD会把授权码重定向到你预先配置的redirect_uri
3. 你的应用从重定向地址中拿到授权码，再去请求令牌端点获取access token，最后调用Graph API拿邮件

关键参数要配全 #

构造授权URL时必须包含这些参数：

• client_id：你在Azure AD里注册应用时拿到的客户端ID
• response_type=code：明确告诉Azure AD要返回授权码
• redirect_uri：必须和你在Azure AD应用注册里配置的重定向URI完全一致（包括协议、端口、路径）
• scope：请求的权限，比如https://graph.microsoft.com/Mail.Read offline_access（offline_access是为了获取刷新令牌，方便后续续期）
• state：随机字符串，用来防止CSRF攻击，建议每次请求都生成不同的

Java示例：引导用户打开浏览器授权 #

import java.awt.Desktop;
import java.net.URI;
import java.net.URLEncoder;

public class OutlookInteractiveAuth {
    public static void main(String[] args) throws Exception {
        // 替换成你自己的应用信息
        String clientId = "你的客户端ID";
        String redirectUri = "http://localhost:8080/redirect";
        String scope = "https://graph.microsoft.com/Mail.Read offline_access";
        String state = "random-state-xyz123";

        // 构造编码后的授权URL
        String encodedRedirectUri = URLEncoder.encode(redirectUri, "UTF-8");
        String encodedScope = URLEncoder.encode(scope, "UTF-8");
        String authUrl = String.format(
            "https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id=%s&response_type=code&redirect_uri=%s&scope=%s&state=%s",
            clientId, encodedRedirectUri, encodedScope, state
        );

        // 打开系统浏览器让用户完成登录授权
        if (Desktop.isDesktopSupported() && Desktop.getDesktop().isSupported(Desktop.Action.BROWSE)) {
            Desktop.getDesktop().browse(new URI(authUrl));
            System.out.println("请在浏览器中完成登录授权，授权码会重定向到你的本地服务");
        }
    }
}

之后你需要在本地启动一个简单的HTTP服务（比如用Spring Boot或者Jetty），监听http://localhost:8080/redirect，从请求参数里拿到code，再用这个code去请求https://login.microsoftonline.com/common/oauth2/v2.0/token获取access token。

场景2：非交互式后台服务（没有用户操作，比如定时同步邮件的服务） #

如果你的应用是后台运行，不需要用户登录，那你得用客户端凭证流程，而不是授权码流程。这个流程需要管理员给你的应用授予应用级权限（比如Mail.Read.All），然后用应用的客户端ID和密钥直接获取令牌。

步骤说明 #

1. 在Azure AD应用注册里，添加应用权限（不是委派权限），比如Mail.Read.All，然后让租户管理员同意这个权限
2. 用客户端ID和密钥请求令牌端点，获取access token
3. 用access token调用Graph API的/users/{用户ID或邮箱}/messages接口获取邮件

Java示例（用官方MSAL4J库，推荐用官方库而非自己写HTTP请求） #

import com.microsoft.aad.msal4j.ClientCredentialFactory;
import com.microsoft.aad.msal4j.ClientCredentialParameters;
import com.microsoft.aad.msal4j.ConfidentialClientApplication;
import com.microsoft.aad.msal4j.IAuthenticationResult;

import java.util.Collections;
import java.util.concurrent.CompletableFuture;

public class OutlookBackendAuth {
    public static void main(String[] args) throws Exception {
        // 替换成你自己的应用信息
        String clientId = "你的客户端ID";
        String clientSecret = "你的客户端密钥";
        String tenantId = "你的租户ID（单租户用这个，多租户可以用common）";
        String scope = "https://graph.microsoft.com/.default"; // 客户端凭证流程固定用这个scope

        // 初始化MSAL客户端
        ConfidentialClientApplication app = ConfidentialClientApplication.builder(
                clientId,
                ClientCredentialFactory.createFromSecret(clientSecret))
                .authority("https://login.microsoftonline.com/" + tenantId)
                .build();

        // 构造请求参数
        ClientCredentialParameters parameters = ClientCredentialParameters.builder(
                Collections.singleton(scope))
                .build();

        // 获取access token
        CompletableFuture<IAuthenticationResult> future = app.acquireToken(parameters);
        IAuthenticationResult result = future.get();

        String accessToken = result.accessToken();
        System.out.println("获取到的Access Token: " + accessToken);
        // 之后用这个token调用Graph API获取邮件，比如发送GET请求到https://graph.microsoft.com/v1.0/users/{user-id}/messages
    }
}

常见错误排查 #

• 检查redirect_uri：必须和Azure AD应用注册里的配置完全一致，差一个字符都不行（比如http和https的区别，端口号是否正确）
• 确认scope参数：授权码流程要用委派权限（比如Mail.Read），客户端凭证流程要用应用权限（比如Mail.Read.All），并且scope的格式要正确
• 不要试图跳过用户交互：授权码流程本质就是需要用户登录同意，除非用户已经在浏览器中有有效的会话，但Java的HTTP请求是无状态的，没有浏览器的Cookie，所以必然会返回登录页面
• 如果是多租户应用，租户ID用common；单租户应用必须用具体的租户ID，不能用common

内容的提问来源于stack exchange，提问作者abhi88