调用Microsoft Graph API的/me/events返回401空响应，但/me正常

环境与配置 #

• .env配置：

MICROSOFT_OAUTH_URL=https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize
MICROSOFT_TOKEN_URL=https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token

• Azure应用注册支持：

✅ 任何组织目录和个人Microsoft账户

• 请求权限范围：

Calendars.ReadWrite email OnlineMeetings.ReadWrite openid profile User.Read

Graph客户端实现代码 #

import { Client } from "@microsoft/microsoft-graph-client";
const getGraphClient = async (accessToken: string) => {
  return Client.init({
    authProvider: (done) => {
      done(null, accessToken); // 从数据库获取的token
    },
  });
};
// 使用示例：
const client = await getGraphClient(userIntegration.accessToken);
const event = await client.api("/me/events").post(newEvent);

问题现象 #

• 调用/me/events接口返回401状态码，响应体为空
• 使用同一access_token调用/me接口可成功获取用户信息：

{
  "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
  "businessPhones": [],
  "displayName": "...",
  "givenName": "...",
  "jobTitle": null,
  "mail": null,
  "mobilePhone": null,
  "officeLocation": null,
  "preferredLanguage": "en",
  "surname": "...",
  "userPrincipalName": "..._gmail.com#EXT#@...gmail.onmicrosoft.com",
  "id": "...5cda28fc39d"
}

Token解析详情 #

{
  "aud": "00000003-0000-0000-c000-000000000000",
  "scp": "Calendars.ReadWrite email OnlineMeetings.ReadWrite openid Presence.Read profile User.Read",
  "iss": "https://sts.windows.net/958a6836-8d13-4822-a86a-a2ead1649e66/",
  "upn": "...._gmail.com#EXT#@....gmail.onmicrosoft.com",
  "appid": "f9c4afbd-bd65-455d-877d-6013f29a7e22",
  "name": "...."
}

异常背景与推测 #

该账户为关联Outlook和Teams的Gmail个人Microsoft账户，被自动转为影子租户中的#EXT#来宾用户。
异常特征：

• 同一token调用/me正常，仅/me/events失败
• Graph Explorer中同一用户、权限、请求调用/me和/me/events均正常
• Token的aud字段符合Microsoft Graph的要求
• 账户可正常登录Teams和Outlook网页端
• 使用OAuth 2.0 v2认证端点

推测原因：Graph Explorer会自动路由到消费者Outlook.com日历后端，而自定义应用注册的请求路径未做适配，导致来宾用户无法访问其个人日历资源。

解决方案建议 #

1. 更换API请求路径：尝试使用/users/{user-id}/events替代/me/events，因为/me在来宾租户场景下会指向租户内的来宾身份，而非用户的个人Microsoft账户资源。
2. 确认应用注册账户类型：检查Azure应用注册的"支持的账户类型"是否设置为"任何组织目录(任何Azure AD目录 - 多租户)和个人Microsoft账户(例如Skype、Xbox)"，避免配置错误导致请求路由异常。
3. 验证权限配置：确保Calendars.ReadWrite为委托权限，且用户已完成权限授权流程。
4. 对比请求差异：使用调试工具对比Graph Explorer与自定义应用的请求头（如Authorization格式、额外请求参数等），确保请求格式完全一致。

内容的提问来源于stack exchange，提问作者The_Thinker