如何无需用户交互通过Microsoft Graph读取Outlook 365邮件？

我正好处理过类似的无人值守守护进程场景，你的问题核心是：默认控制台示例用的是需要用户交互的授权码流，而守护进程这种无人值守的服务，必须改用客户端凭据流（Client Credentials Flow）。下面分权限配置、代码修改两个核心部分给你说明：

一、确认并调整应用权限（必须用「应用权限」） #

你之前配置的权限可能选成了「委托权限」，这就是需要登录弹窗的原因。守护进程必须用应用权限，具体操作：

• 登录Azure AD应用注册后台，找到你的应用
• 进入「API权限」页面，点击「添加权限」→ 选择「Microsoft Graph」
• 选择「应用权限」，搜索并添加 Mail.Read（这个权限允许应用读取租户内任意邮箱的内容，完全满足你扫描NDR的需求）
• 点击「授予管理员同意」（你是全局管理员，直接就能完成这步，否则权限无法生效）

注意：不要选「委托权限」，委托权限必须绑定具体用户，需要用户登录交互，完全不适合守护进程场景。

二、修改控制台应用代码（替换为客户端凭据流） #

把原来示例里的授权码流代码全部替换成下面的客户端凭据流实现：

1. 初始化Graph客户端（核心修改） #

using Microsoft.Graph;
using Microsoft.Identity.Client;
using System.Threading.Tasks;

namespace NdrScanner
{
    class Program
    {
        static async Task Main(string[] args)
        {
            // 替换成你的应用配置
            var clientId = "你的应用ID";
            var clientSecret = "你的应用密钥";
            var tenantId = "你的租户ID（可以是租户GUID或域名，比如contoso.onmicrosoft.com）";
            var targetMailboxUpn = "要扫描的邮箱账户UPN，比如ndr-monitor@contoso.com";

            // 创建机密客户端应用（守护进程属于机密客户端，需要密钥）
            var confidentialClient = ConfidentialClientApplicationBuilder
                .Create(clientId)
                .WithClientSecret(clientSecret)
                .WithTenantId(tenantId)
                .Build();

            // 使用客户端凭据流创建认证提供者
            var authProvider = new ClientCredentialProvider(confidentialClient);

            // 初始化Graph客户端
            var graphClient = new GraphServiceClient(authProvider);

            // 调用扫描邮箱的方法
            await ScanNdrEmails(graphClient, targetMailboxUpn);
        }
    }
}

2. 实现NDR邮件扫描逻辑 #

private static async Task ScanNdrEmails(GraphServiceClient graphClient, string targetMailboxUpn)
{
    try
    {
        // 过滤未送达报告邮件（根据主题关键词，中英文都可以加）
        var ndrMessages = await graphClient.Users[targetMailboxUpn].Messages
            .Request()
            .Filter("subject contains 'Undeliverable' OR subject contains '未送达'")
            .Select("Subject,Body,ReceivedDateTime")
            .GetAsync();

        foreach (var message in ndrMessages)
        {
            Console.WriteLine($"=== 发现NDR邮件 [{message.ReceivedDateTime}] ===");
            Console.WriteLine($"主题: {message.Subject}");
            Console.WriteLine($"正文摘要: {message.Body.Content.Substring(0, 500)}...");

            // 这里添加你的逻辑：从正文提取用户信息，执行对应任务
            // ExtractUserInfoFromNdrBody(message.Body.Content);
            // ExecuteTaskForUser(extractedUserId);
        }
    }
    catch (ServiceException ex)
    {
        Console.WriteLine($"Graph API调用出错: {ex.Message}");
    }
}

3. 清理旧代码 #

把原来示例中所有涉及PublicClientApplicationBuilder、弹出登录窗口的代码全部删除，因为我们不再需要用户交互。

三、关键注意事项 #

• 权限生效验证：如果遇到「权限不足」的错误，先检查是否已经完成「授予管理员同意」，并且权限类型是应用权限
• 邮箱访问范围：应用权限Mail.Read是租户级的，所以你可以指定租户内任何邮箱的UPN或用户ID来访问
• 生产环境安全：不要把客户端密钥硬编码在代码里，建议用Azure Key Vault或者服务器环境变量存储密钥
• NDR识别优化：除了主题过滤，还可以通过邮件的InternetMessageHeaders中的X-Failed-Recipients头来更精准识别NDR邮件

内容的提问来源于stack exchange，提问作者ingredient_15939