使用Microsoft Graph API通过共享链接下载文件时遇403权限拒绝

问题描述 #

我尝试使用Microsoft Graph API从OneDrive共享文件，允许其他用户下载，但通过共享链接下载时收到403 Access Denied错误。

用户1创建共享链接的请求 #

POST https://graph.microsoft.com/v1.0/me/drive/items/{ItemId}/createLink
Authorization: Bearer {accessToken}
Content-Type: application/json

请求体：

{
    "type": "edit", 
    "scope": "anonymous"
}

返回结果：

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#microsoft.graph.permission",
    "id": "Id",
    "roles": [
        "write"
    ],
    "shareId": "ShareID",
    "hasPassword": false,
    "link": {
        "scope": "anonymous",
        "type": "edit",
        "webUrl": "ShareUrl",
        "preventsDownload": false
    }
}

用户2下载请求及错误 #

用户2调用以下接口下载：

GET https://graph.microsoft.com/v1.0/shares/ShareID/driveItem/content

返回错误：

{
    "error": {
        "code": "accessDenied",
        "message": "Access denied"
    }
}

已执行的排查步骤 #

• 验证accessToken有效且包含所有权限
• 确认createLink返回的webUrl可在浏览器正常访问文件
• 尝试scope为"anonymous"和"organization"的链接，问题一致
• 已按文档要求编码共享URL
• 试过委派权限和应用程序权限，问题仍存在

已在Azure门户配置Files.ReadWrite、Files.Read.All、Files.ReadWrite.All、Sites.Read.All、Sites.ReadWrite.All权限，是否缺权限？是否需要新API？另外，两位用户同属一个组织，使用organization scope且均为委派用户。

问题分析与解决方案 #

1. 共享ID编码错误（核心原因） #

调用/shares/{shareId}/driveItem/content时，不能直接使用返回的shareId字段值，必须对完整共享URL（即webUrl）按以下规则编码：

1. 给webUrl添加前缀u!，格式为u!{webUrl}
2. 对拼接后的字符串进行Base64编码
3. 替换编码结果中的特殊字符：+→-，/→_，移除末尾的=

示例：
假设webUrl是https://1drv.ms/u/s!Abc123XYZ，编码步骤：

• 拼接为：u!https://1drv.ms/u/s!Abc123XYZ
• Base64编码后得到：dT!aHR0cHM6Ly8xZHJ2Lm1zL3UvcyFBYmMxMjNYWVo=
• 替换后最终编码值：dT!aHR0cHM6Ly8xZHJ2Lm1zL3UvcyFBYmMxMjNYWVo

将这个最终编码值作为{shareId}传入接口即可。

2. 权限配置验证 #

• 委派权限场景：用户2的accessToken必须包含Files.Read或更高权限，且需确认权限已通过用户同意流程授予（若为租户应用需管理员同意）
• 应用程序权限场景：需确保Files.Read.All/Sites.Read.All已被租户管理员同意，同时目标文件不在OneDrive的受保护私人目录中

3. 替代下载方案 #

若编码问题仍无法解决，可直接使用共享文件的直连下载URL：

1. 先调用接口获取共享文件详情：

GET https://graph.microsoft.com/v1.0/shares/{encodedShareUrl}/driveItem

2. 从返回结果中提取@microsoft.graph.downloadUrl字段，该URL可直接用于下载，无需额外权限验证（遵循共享链接的权限范围）

4. 组织内共享额外检查 #

当scope设为organization时：

• 确认用户2的账号属于同一Azure AD租户
• 检查租户OneDrive管理员设置，是否限制了跨用户的API访问权限

内容的提问来源于stack exchange，提问作者Anzil