Microsoft Graph API获取的Access Token刚生成即过期问题

看起来你遇到的问题大概率和API端点不匹配有关，当然也可以从这几个方向逐一排查：

1. 混淆了Microsoft Graph和Azure AD Graph API #

你提到是按照Microsoft Graph的认证指南获取的Token，但实际请求的是https://graph.windows.net（这是Azure AD Graph API的端点），而不是Microsoft Graph的官方端点https://graph.microsoft.com。这两个API是完全不同的服务，它们要求的Token受众（aud声明）不一致：

• 如果你的Token是为Microsoft Graph获取的，它的aud值会是https://graph.microsoft.com，无法被Azure AD Graph API识别，这时API可能会返回误导性的"Token过期"错误，实际是Token的受众不匹配。
• 反之，如果要调用Azure AD Graph，你需要在获取Token时指定目标资源为https://graph.windows.net（比如在Postman的请求体里设置resource=https://graph.windows.net）。

2. 检查Token的实际有效期和受众 #

你可以把获取到的Token复制到JWT解码工具中查看核心声明：

• 查看exp字段：这是Token的过期时间（UTC时区），确认这个时间是不是真的已经过去了。如果刚获取就过期，可能是认证请求时的参数有误，或者服务器时间异常。
• 查看aud字段：确认这个值和你要调用的API的受众是否一致。比如调用Azure AD Graph需要aud=https://graph.windows.net，调用Microsoft Graph需要aud=https://graph.microsoft.com。

3. 确认本地时间和UTC时间同步 #

虽然概率较低，但如果你的本地设备时间和UTC时间偏差较大（比如快了几个小时），可能会导致你误以为Token还没过期，但实际上已经过了UTC的过期时间。可以检查下设备的时间设置，确保和UTC时间同步。

快速修复建议 #

如果你本来就想调用Microsoft Graph API，直接把请求地址改成https://graph.microsoft.com/v1.0/me（注意API版本是v1.0或beta，不是1.6，1.6是Azure AD Graph的版本），然后用你现有的Token试试；如果确实要调用Azure AD Graph，那重新获取Token时，在Postman的POST请求体里添加resource=https://graph.windows.net参数，再用新的Token去请求。

内容的提问来源于stack exchange，提问作者Tomas Aschan