使用SharePoint.Read.All权限无法获取主站点列表的原因及可行方案

问题原因 #

• 主站点系统列表的权限限制：租户主站点（尤其是管理中心创建的根站点）包含多个租户级的敏感系统列表（比如租户导航配置、搜索设置相关的隐藏列表）。SharePoint.Read.All权限默认会限制应用访问这类系统级资源。当你尝试获取主站点的全部列表时，请求会遍历到这些受保护的系统列表，触发权限校验失败，抛出UnauthorizedAccessException。而子站点一般不存在这类租户级敏感系统列表，因此SharePoint.Read.All权限可以正常访问子站点的普通列表。
• 权限范围的细微差异：SharePoint.Read.All的权限定义是“读取所有网站集的内容”，但针对主站点的系统资源做了额外的权限拦截，防止应用获取租户敏感配置。而Sites.FullControl.All是完全控制权限，不受这类拦截限制，所以能访问所有列表。

无需FullControl权限的解决办法 #

你完全不需要授予高风险的Sites.FullControl.All权限，以下几种方式可以解决问题：

• 直接访问目标列表：如果业务只需要访问主站点中的特定用户创建列表，不要调用“获取所有列表”的接口，而是通过列表ID或名称直接请求目标列表的详情。SharePoint.Read.All权限允许访问主站点的普通用户列表，只要不触碰系统敏感列表就不会报错。
• 改用Sites.Read.All权限：如果必须遍历主站点的所有列表，可以授予Sites.Read.All应用权限（注意这是SharePoint专用权限，非Graph API权限）。这个权限明确允许读取所有网站集的全部内容，包括主站点的系统列表，同时权限范围仅为读取，比Sites.FullControl.All安全得多。
• 过滤系统列表：如果坚持使用SharePoint.Read.All权限，可以在代码中对获取到的列表集合进行过滤，排除系统列表（可通过BaseTemplate属性判断，比如普通列表模板ID为100，系统列表常见ID为101、103、1100等），只处理用户创建的列表，避免触发权限异常。

内容的提问来源于stack exchange，提问作者Amit