SharePoint REST V1 API调用遭授权拒绝，Graph API正常问题排查咨询

我们使用SharePoint List V1 REST API为Microsoft Teams站点创建含隐藏列的列表（Microsoft Graph SharePoint API暂不支持该功能）。某客户场景下，站点所有者通过网页界面能正常创建列表，但调用API时返回Access is denied错误。

请求详情 #

• 请求方法：POST
• 请求地址：https://teams.mdlz.com/sites/decisionsatmdlz/_api/web/lists
• 请求体：

{
    "__metadata": {
      "type": "SP.List"
    },
    "AllowContentTypes": true,
    "BaseTemplate": 100,
    "ContentTypesEnabled": true,
    "Title": "Test Group - Decision List"
  }

错误响应 #

• 响应头：

{
  "cache-control": "private, max-age=0",
  "content-type": "application/json;odata=minimalmetadata;streaming=true;charset=utf-8",
  "expires": "Wed, 31 Jul 2024 12:09:35 GMT",
  "last-modified": "Thu, 15 Aug 2024 12:09:35 GMT",
  "sprequestguid": "e58146a1-7051-6000-3578-89917ec657f5",
  "x-msedge-ref": "Ref A: A41FE2E19EB64C24BB8DE62293A94E94 Ref B: LON21EDGE1319 Ref C: 2024-08-15T12:09:35Z"
}

• 响应消息：

{
  "odata.error": {
    "code": "-2147024891, System.UnauthorizedAccessException",
    "message": {
      "lang": "en-US",
      "value": "Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED))"
    }
  }
}

可能的权限原因及复现步骤 #

1. API调用权限范围不足

网页操作依赖用户交互权限，而API调用可能使用了受限的委托权限或应用权限。复现方式：

• 在测试环境模拟客户的API授权流程（如用Postman），使用站点所有者账号发起请求
• 解析授权令牌，确认是否包含Sites.Manage.All、Sites.FullControl.All等足够权限

2. 站点权限继承中断或自定义权限缺失

若站点断开权限继承，且自定义权限组未给所有者分配API操作所需的特定权限，会触发该错误。复现方式：

• 在测试站点中断权限继承
• 创建自定义权限组，仅授予网页端“创建列表”权限，但排除Manage Lists权限
• 使用该组的所有者账号调用API，验证是否报错

3. 租户级API限制

租户管理员可能配置了阻止通过API创建列表的策略。复现方式：

• 联系租户管理员确认是否存在租户级SharePoint API权限限制
• 在测试租户中启用相同限制，尝试调用API

4. 授权令牌异常

令牌过期、用户标识不匹配或权限上下文错误都会导致权限拒绝。复现方式：

• 使用过期令牌调用API，验证是否返回相同错误
• 解析令牌，检查upn、oid是否与站点所有者身份一致

解决方案建议 #

1. 验证API权限：确保调用API的委托权限包含Sites.Manage.All或目标站点的Full Control权限；应用权限需授予Sites.FullControl.All并在站点上完成应用权限授权。
2. 检查站点权限设置：确认站点所有者所在权限组包含Manage Lists权限，若权限继承断开，需在自定义权限组中补充该权限。
3. 排查租户级限制：联系租户管理员检查Azure AD应用权限策略、SharePoint租户设置中是否存在API调用限制。
4. 验证令牌有效性：使用令牌解析工具确认令牌的用户标识、权限范围正确且未过期。

内容的提问来源于stack exchange，提问作者Deepak Sharma