如何为GraphServiceClient全局配置WithAppOnly()避免重复设置

完全可以实现全局配置，不用在每个Graph请求里重复调用WithAppOnly()。下面是两种实用的实现方式：

方式1：注册时设置全局请求选项 #

在项目的依赖注入配置文件（比如Program.cs）中，注册GraphServiceClient时直接预设全局请求规则，自动启用应用权限：

builder.Services.AddGraphServiceClient(options =>
{
    // 配置守护程序场景的ClientCredentialProvider
    var clientCredential = new ClientCredential(
        builder.Configuration["AzureAd:ClientId"],
        builder.Configuration["AzureAd:ClientSecret"]);
    options.AuthenticationProvider = new ClientCredentialProvider(clientCredential, "https://graph.microsoft.com/.default");
})
.ConfigureHttpClient(httpClient =>
{
    // 通过请求头全局开启AppOnly行为
    httpClient.DefaultRequestHeaders.Add("SdkFeatureFlags", "AppOnly");
});

方式2：使用守护程序专属身份验证提供器 #

如果你的应用属于无用户交互的守护程序（仅使用应用权限），直接基于ClientCredentialProvider注册GraphServiceClient即可——这种情况下SDK默认就会采用应用权限流程，无需手动调用WithAppOnly()：

// 注册身份验证提供器
builder.Services.AddSingleton<IAuthenticationProvider>(sp =>
{
    var config = sp.GetRequiredService<IConfiguration>();
    var clientId = config["AzureAd:ClientId"];
    var clientSecret = config["AzureAd:ClientSecret"];
    return new ClientCredentialProvider(
        new ClientCredential(clientId, clientSecret),
        "https://graph.microsoft.com/.default");
});

// 注册GraphServiceClient
builder.Services.AddGraphServiceClient(sp =>
{
    var authProvider = sp.GetRequiredService<IAuthenticationProvider>();
    return new GraphServiceClient(authProvider);
});

后续使用时直接注入调用即可，无需额外配置：

var graphClient = app.Services.GetRequiredService<GraphServiceClient>();
await graphClient.Users.GetAsync(); // 自动使用应用权限发起请求

关键说明 #

• WithAppOnly()的核心作用是指示SDK优先使用应用权限而非用户委托权限，而ClientCredentialProvider本身就是为守护程序场景设计的身份验证组件，默认会走应用权限流程，因此无需额外调用该方法。
• 若存在混合权限场景（同时需要处理用户权限与应用权限），可以注册两个不同的GraphServiceClient实例，分别配置对应的权限策略。

内容的提问来源于stack exchange，提问作者Shuzheng