请求令牌时返回错误范围：O365服务状态门户权限异常排查

看起来你遇到的核心问题是授权流程中没有正确请求并获取到所需的服务状态权限，导致返回的JWT令牌里只有默认的User.Read范围，无法调用O365服务状态相关的API。下面是一步步的排查和解决方法：

1. 确认授权请求中包含正确的权限范围 #

在获取授权码的第一步（用户登录跳转的授权URL），你必须明确指定需要的Microsoft Graph权限，而不是依赖默认的User.Read。对于O365服务状态，关键权限是ServiceHealth.Read.All——这个权限允许读取服务运行状况和公告。

你的授权URL应该类似这样（替换占位符为你的实际信息）：

https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/authorize?
client_id={你的应用ID}&
response_type=code&
redirect_uri={你的回调URI}&
response_mode=query&
scope=ServiceHealth.Read.All User.Read&
state=随机字符串

注意：scope参数需要用空格分隔多个权限，必须明确包含ServiceHealth.Read.All，不能省略。

2. 检查Azure应用注册的权限配置与同意状态 #

登录Azure门户，找到你的应用注册，进入API权限页面：

• 确认已经添加了Microsoft Graph的ServiceHealth.Read.All权限：
  • 如果是让用户登录后查看（委派权限），选择“委派权限”下的ServiceHealth.Read.All；
  • 如果是应用后台主动获取数据展示给用户（无需用户登录），选择“应用权限”下的ServiceHealth.Read.All。
• 点击授予管理员同意按钮（如果是应用权限，或者需要管理员统一同意的委派权限），确保权限已经生效。如果没有完成同意步骤，即使用户授权，令牌也不会包含该权限。

3. 获取令牌时保持scope参数一致 #

在使用授权码交换JWT令牌的POST请求中，scope参数必须和授权请求中的完全一致，不能只写User.Read。示例请求体（x-www-form-urlencoded格式）：

client_id={你的应用ID}
&scope=ServiceHealth.Read.All User.Read
&code={获取到的授权码}
&redirect_uri={你的回调URI}
&grant_type=authorization_code
&client_secret={你的应用密钥（如果是机密客户端）}

4. 验证令牌内容 #

获取到令牌后，用jwt.ms解码查看：

• 如果是委派权限（用户登录场景），检查scp声明里是否包含ServiceHealth.Read.All；
• 如果是应用权限（后台服务场景），检查roles声明里是否包含ServiceHealth.Read.All。
  如果这些声明不存在，说明前面的步骤有遗漏，回到前两步重新排查。

常见坑点提醒 #

• 不要依赖默认权限：Azure AD不会自动添加你在应用注册里配置的权限到授权请求，必须手动在scope参数中指定；
• 区分权限类型：如果用授权码流（用户登录），必须配置委派权限；如果用客户端凭证流（后台服务），必须配置应用权限，两者不能混用；
• 权限同意后需要重新授权：如果刚添加权限并授予同意，需要让用户重新登录授权，旧的授权码和令牌不会自动包含新权限。

内容的提问来源于stack exchange，提问作者Stewart