配置Calendar.Read应用权限后，如何通过MS Graph API获取组织日历并解决令牌错误？

看起来你在使用客户端凭据流调用MS Graph API获取组织日历时遇到了令牌相关的错误，我来帮你一步步排查解决，同时解答关于令牌用途的问题：

一、排查并修正令牌获取与API调用的问题 #

1. 修正令牌请求的resource参数 #

你当前遇到的Authentication_MissingOrMalformed错误，最常见的原因就是令牌的受众（aud声明）不匹配MS Graph API的要求。你在获取令牌时填写的resource应该是https://graph.microsoft.com，而不是应用的ID URI。

正确的令牌请求参数应该包含：

• grant_type: client_credentials
• client_id: 你的应用注册ID
• client_secret: 你的应用密钥
• resource: https://graph.microsoft.com

2. 确认管理员已同意权限 #

虽然你走了管理员同意的流程，但要确认**Calendar.Read（应用权限）**已经被租户管理员成功授予。你可以登录Azure AD应用注册门户，进入你的应用，在「API权限」页面查看该权限的状态是否为「已授予[你的租户名称]」。如果状态显示「需要管理员同意」，得重新完成管理员同意流程。

3. 正确构造MS Graph API请求 #

拿到正确的令牌后，调用API时要注意格式：

• 请求方法：GET
• 请求URL：如果要获取特定用户的日历事件，用https://graph.microsoft.com/v1.0/users/{用户ID或用户邮箱}/calendar/events；如果是组日历，用https://graph.microsoft.com/v1.0/groups/{组ID}/calendar/events
• 请求头：必须添加Authorization: Bearer {你的访问令牌}

举个curl调用的示例：

curl --request GET 'https://graph.microsoft.com/v1.0/users/john@contoso.com/calendar/events' \
--header 'Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6...'

二、该令牌的可用操作范围 #

你通过client_credentials流获取的是应用级权限令牌，它能执行的操作完全取决于你给应用配置的应用权限：

• 目前你添加了Calendar.Read应用权限，所以可以读取租户内任意用户或组的日历事件、日历基本信息，不需要用户的交互授权
• 如果后续添加了其他应用权限（比如Calendar.ReadWrite），还可以修改、创建租户内的日历事件
• 每个权限的具体操作范围，可以参考MS Graph官方的权限说明，比如Calendar.Read应用权限支持列出所有用户的日历、读取日历事件的完整详情等

额外提醒 #

• 客户端凭据流是应用自身的身份验证，代表应用去访问资源，不需要用户登录，适合后台服务类的场景
• 确保你添加的是应用权限而非委托权限，委托权限需要用户交互登录，无法在client_credentials流中使用

内容的提问来源于stack exchange，提问作者Kuan Wei Liao