从C# Web API调用Microsoft Graph时遇无效令牌错误求助

咱们一步步来解决你的问题，先从核心误区和代码错误入手：

首先纠正流类型的误解 #

你当前使用的是客户端凭证流（Client Credentials Flow），而非隐式流（Implicit Flow）。隐式流是专为单页应用（SPA）设计的，不需要客户端密钥（client secret），通过前端重定向获取令牌；而你的场景是Web API后台调用Graph，客户端凭证流才是正确的选择（如果无需用户上下文）。

代码核心错误：获取令牌时资源指定错误 #

你当前的代码中，AcquireToken方法的第一个参数传的是clientId，这是错误的——这个参数需要指定目标资源的URI，也就是Microsoft Graph的资源地址https://graph.microsoft.com。错误的资源会导致令牌的受众（aud字段）不是Graph，自然会被Graph判定为无效令牌。

修正后的ADAL代码（注意：ADAL已停止维护，建议迁移到MSAL） #

var clientCredential = new ClientCredential(clientId, clientSecret);
// 替换{tenantId}为你的租户ID或域名，比如contoso.onmicrosoft.com
var authority = "https://login.microsoftonline.com/{tenantId}"; 
AuthenticationContext context = new AuthenticationContext(authority);
// 第一个参数改为Graph的资源URI
AuthenticationResult authenticationResult = await context.AcquireTokenAsync("https://graph.microsoft.com", clientCredential);

if (authenticationResult == null) {
    throw new InvalidOperationException("Failed to obtain the token");
}
return authenticationResult;

推荐使用MSAL（Microsoft.Identity.Client）的代码 #

ADAL已经不再更新，微软推荐使用MSAL来处理身份验证，代码更简洁且支持更多特性：

using Microsoft.Identity.Client;

// 替换为你的应用信息
var clientId = "你的客户端ID";
var clientSecret = "你的客户端密钥";
var tenantId = "你的租户ID";
// 客户端凭证流需要使用".default"作用域
var scopes = new[] { "https://graph.microsoft.com/.default" };

var app = ConfidentialClientApplicationBuilder
    .Create(clientId)
    .WithClientSecret(clientSecret)
    .WithTenantId(tenantId)
    .Build();

var result = await app.AcquireTokenForClient(scopes).ExecuteAsync();
return result;

其他可能导致"invalid token"的排查点 #

• 权限配置错误：客户端凭证流需要在Azure AD应用注册中添加应用权限（而非委托权限），并且必须由租户管理员同意该权限。比如你要读取用户信息，需要添加User.Read.All应用权限并完成管理员同意。
• 令牌受众验证：可以用jwt.ms解码获取到的令牌，检查aud字段是否为https://graph.microsoft.com。如果不是，说明资源指定错误，回到代码修正。
• 租户ID正确性：确保authority中的租户ID/域名正确，如果你是多租户应用，使用common的话需要在应用注册中设置允许所有租户访问，且权限需由目标租户管理员同意。

内容的提问来源于stack exchange，提问作者Angelo Guarino