未在Microsoft Entra应用注册添加的权限，用户为何仍能完成授权？

核心原因 #

你的租户默认开启了用户可同意低风险权限的设置，像File.ReadWrite这类低风险委托权限，就算应用注册里没预先添加，用户也能自行同意。

具体说明 #

• 当应用请求的权限在租户定义的「用户可同意权限范围」内时，哪怕应用注册里没提前加这个权限，用户完成同意后，该权限会自动关联到用户的企业应用授权记录里，所以你会在企业应用的用户板块看到已授予的记录。
• 你之前的预期偏差是因为没摸透Entra ID的权限同意逻辑：管理员不是必须在应用注册里加权限才能限制用户，而是可以通过租户级的权限同意策略来管控用户能自行同意的权限范围。

实现预期限制的步骤 #

1. 登录Microsoft Entra管理中心，进入身份验证 > 权限同意 > 权限同意设置
2. 把用户可以同意应用访问他们的数据设为否，或者选仅允许用户同意管理员已为其配置的权限
3. 如果需要更精细的控制，还能创建自定义权限同意策略，明确指定哪些权限用户能自行同意，哪些必须走管理员审批

另外，要是想严格锁定应用能请求的权限，还可以在应用注册的API权限里添加允许的权限，对高风险权限开启需要管理员同意，从应用层面限制可请求的权限范围。

内容的提问来源于stack exchange，提问作者codex