Azure AD v2 OAuth请求User.ReadBasic.All权限失败问题排查

这事儿核心原因在于User.ReadBasic.All权限的适用范围限制，咱们拆开来细说：

• 权限本身的设计目标：User.ReadBasic.All是专门为**工作/学校账户（组织租户用户）**设计的权限，它的作用是允许应用读取所在组织租户内所有用户的基本资料。但Microsoft个人账户（比如outlook.com、hotmail.com这类个人邮箱账号）不属于任何组织租户，也不存在“租户内其他用户”的场景，所以这个权限对个人账号来说完全没有意义，Azure AD v2端点直接会忽略针对个人账号的这个权限请求。

• 同意提示的差异逻辑：正因为个人账号不支持User.ReadBasic.All，所以当你用个人账号登录时，Azure AD不会显示这个权限的同意提示——毕竟这个权限对该账号无效。而组织租户用户登录时，这个权限是符合业务场景的，所以会正常展示所有请求的权限，用户同意后也会把该权限包含在返回的token里。

• 你的token结果也印证了这点：个人账号返回的token里只有User.Read和Calendars.ReadWrite，这是因为这两个权限是同时支持个人和组织账号的，而User.ReadBasic.All被AD端点直接过滤掉了。

给你的小建议 #

如果你的应用需要同时兼容个人账号和组织账号，建议在代码里做个判断：

• 先识别用户账号类型（个人/组织）；
• 针对个人账号，不要请求User.ReadBasic.All权限；
• 或者在权限获取失败时做降级处理，比如只用User.Read来获取当前登录用户的信息就足够了。

内容的提问来源于stack exchange，提问作者Nth.gol