Azure AD与Salesforce认证报错，请求协助排查问题原因

这个错误我帮不少开发者排查过，核心问题就是应用的权限同意流程没有完成——哪怕你已经在Azure AD里给应用配置了权限，也得确保用户或管理员完成了授权同意环节。下面给你拆解可能的问题点和对应的解决办法：

1. 检查权限类型与同意状态 #

首先要明确你用的是哪种权限：

• 你代码里用的是authorization_code授权流程，这属于用户级别的委派权限，需要用户或管理员完成同意操作。
• 登录Azure AD的应用注册页面，找到你的应用进入「API权限」：
  • 确认你添加的权限是针对https://outlook.office365.com的委派权限（比如IMAP、Mail.Read这类）。
  • 检查权限旁是否显示「已授予{你的租户名}同意」：如果没有，点击「授予管理员同意」按钮，完成租户级别的批量同意（这样所有用户都不用再单独同意）。

2. 确保授权请求触发同意流程 #

你当前的代码是用code换令牌，但获取code的第一步授权请求里，可能没触发同意页面。在构造授权URL时，必须加上prompt=consent参数，强制弹出同意界面，让用户/管理员完成授权：
示例授权URL（替换成你的租户ID、客户端ID等信息）：

https://login.microsoftonline.com/{你的租户ID}/oauth2/v2.0/authorize?client_id=1d75cc30-c553-4733-9a88-501e1b45821a&response_type=code&redirect_uri={你的回调地址}&response_mode=query&scope=openid%20email%20https://outlook.office365.com/IMAP.AccessAsUser.All&prompt=consent

如果之前获取code时没加这个参数，用户根本没机会同意权限，自然会在换令牌时出错。

3. 验证资源参数与权限的匹配性 #

你代码里的resource参数是https://outlook.office365.com，要确保在Azure AD里给应用配置的权限完全对应这个资源——比如不能给Microsoft Graph的权限，却请求Outlook的资源，这种不匹配也会导致同意无效。

4. 重新走完整的授权流程 #

完成上面的配置后，需要重新走一遍完整的授权流程：

1. 用带prompt=consent的授权URL引导用户登录并同意权限。
2. 获取新的authorization code。
3. 用你提供的代码（如下）换令牌，此时应该就能成功获取到令牌了。

你的令牌请求代码（格式化后） #

List<String> urlParams = new List<String> { 
    'grant_type=authorization_code', 
    'code=' + EncodingUtil.urlEncode(code, 'UTF-8'), 
    'client_id=' + EncodingUtil.urlEncode(client_id, 'UTF-8'), 
    'client_secret=' + EncodingUtil.urlEncode(client_secret, 'UTF-8'), 
    'redirect_uri=' + EncodingUtil.urlEncode(redirect_uri, 'UTF-8'), 
    'resource=' + EncodingUtil.urlEncode('https://outlook.office365.com', 'UTF-8') 
}; 
String body = String.join(urlParams, '&'); 
Http h = new Http(); 
HttpRequest req = new HttpRequest(); 
req.setEndpoint(access_token_url); 
req.setMethod('POST'); 
req.setHeader('Content-Type', 'application/x-www-form-urlencoded'); 
req.setHeader('Accept', 'application/json'); 
req.setBody(body); 
HttpResponse res = h.send(req);

按照上面的步骤排查，基本就能解决这个未同意权限的错误了。

内容的提问来源于stack exchange，提问作者Mohit Gulati