Azure OAuth 登录 - 正在工作，现在收到 AADSTS700022/AADSTS700023 错误

Question

我们网站的 Office 365 登录功能已经运行了几个月，突然间就坏了。

从今天早上(英国时间)开始，我们开始收到“AADSTS700023:使用提供的授权代码请求访问 token 时，输入参数范围的提供值不能为空。请指定有效范围。” 当我们通过 https://login.microsoftonline.com/common/oauth2/v2.0/token 请求 token 时出现错误

查看文档，范围似乎是必需的，但没有被通过，所以不管它已经工作了几个月，我还是添加了它。现在我得到了一个不同的错误..

AADSTS700022:为输入参数范围提供的值无效，因为它包含多个资源。范围https://outlook.office.com/mail.send mail.readwrite calendars.readwritetasks.readwritecontacts.readwriteopenid配置文件offline_access无效。

当我们首先调用授权端点时，这是传递的范围，并且它从该调用中正常返回，但是当我们尝试获取 token 时它会失败。

目前 365 是否存在一般登录问题，或者我是否做错了什么，而 Microsoft 已决定“修复”他们的问题？

Answer 1

AADSTS700023: The provided value for the input parameter scope cannot be empty when requesting an access token using the provided authorization code. Please specify a valid scope.

获取 token 以访问 Azure AD V2.0 中的资源时，需要指定 scope参数，指示应用程序正在请求授权哪些资源和权限。请引用how OAuth 2.0 Authorization Code Flow works在 Azure AD v2.0 中。

AADSTS700022: The provided value for the input parameter scope is not valid because it contains more than one resource. The scope https://outlook.office.com/mail.send mail.readwrite calendars.readwrite tasks.readwrite contacts.readwrite openid profile offline_access is not valid.

Azure AD 颁发的访问 token 仅适用于一种资源，不能使用同一 token 访问多种资源。这意味着您应该在 token 请求中指定一种资源的范围。查看您的范围:

• https://outlook.office.com/mail.send是 Office 365 统一邮件 API 的范围
• mail.readwrite calendars.readwrite tasks.readwrite contacts.readwrite是 Microsoft Graph API 的范围。

您无法获取访问 token 来访问两个资源。您可以请求 Mail.Send使用 Microsoft Graph API 发送邮件的范围，而不是使用 O365 邮件休息 api 的范围。