Microsoft Graph 令牌不包含权限，或权限无法理解

Question

我正在使用 Microsoft Graph，并创建了一个可以读取特定用户邮件的应用。

但是，在获得访问令牌并尝试读取邮件文件夹后，我收到了 401 Unauthorized 答案。详细信息是：

令牌不包含权限，或权限无法理解。

这似乎是一个非常明确的信息，但不幸的是我无法找到解决方案。 这是我到目前为止所做的：

• 在https://apps.dev.microsoft.com注册应用程序

• 给予 应用程序权限 Mail.Read、Mail.ReadWrite (https://docs.microsoft.com/en-us/graph/api/user-list-mailfolders?view=graph-rest-1.0)

• 已获得管理员同意。

权限是： - 编写以下代码来获取访问令牌：

 // client_secret retrieved from secure storage (e.g. Key Vault)
 string tenant_id = "xxxx.onmicrosoft.com";
 ConfidentialClientApplication client = new ConfidentialClientApplication(
 "..",
 $"https://login.microsoftonline.com/{tenant_id}/",
 "https://dummy.example.com", // Not used, can be any valid URI 
 new ClientCredential(".."),
 null, // Not used for pure client credentials
 new TokenCache());

   string[] scopes = new string[] { "https://graph.microsoft.com/.default" };
   AuthenticationResult result = client.AcquireTokenForClientAsync(scopes).Result;
   string token = result.AccessToken;

到目前为止一切顺利。我确实得到了一个令牌。

现在我想阅读邮件文件夹：

url = "https://graph.microsoft.com/v1.0/users/{username}/mailFolders";
handler = (HttpWebRequest)WebRequest.Create(url);
handler.Method = "GET";
handler.ContentType = "application/json";
handler.Headers.Add("Authorization", "Bearer " + token);
response = (HttpWebResponse)handler.GetResponse();
using (StreamReader sr = new StreamReader(response.GetResponseStream()))
{
    returnValue = sr.ReadToEnd();
}

这次我收到一条 401 消息，其中包含详细信息：

令牌不包含权限，或权限无法理解。

我搜索了互联网，但找不到我的令牌为何没有权限的答案。

感谢您的宝贵时间！

更新 1

如果我使用 Graph Explorer 来读取邮件文件夹，那么它可以正常工作。此外：如果我从浏览器中获取令牌 ID，然后在我的第二段代码中使用它，那么我也会得到一个结果。所以，问题实际上是我从第一步收到的令牌。

Answer 1

为确保按预期工作，您应明确说明您希望为哪个租户获取访问令牌。 （在此租户中，应用程序当然应该已经获得管理员同意。）

使用特定于租户的端点，而不是“通用”令牌端点：

string url = "https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token";

（其中{tenant-id} 是租户的租户 ID（Guid）或任何经过验证的域名。）

我也强烈建议反对您自己构建令牌请求，正如您在问题中所显示的那样。这可能对教育目的有用，但从长远来看往往不安全且容易出错。

您可以使用各种库来代替。下面，一个使用Microsoft Authentication Library (MSAL) for .NET的例子：

// client_secret retrieved from secure storage (e.g. Key Vault)
string tenant_id = "contoso.onmicrosoft.com";
ConfidentialClientApplication client = new ConfidentialClientApplication(
    client_id,
    $"https://login.microsoftonline.com/{tenant_id}/",
    "https://dummy.example.com", // Not used, can be any valid URI 
    new ClientCredential(client_secret),
    null, // Not used for pure client credentials
    new TokenCache());

string[] scopes = new string[] { "https://graph.microsoft.com/.default" };
AuthenticationResult result = client.AcquireTokenForClientAsync(scopes).Result
string token = result.AccessToken;
// ... use token