如何限制Azure应用仅访问指定SharePoint列表？

核心问题梳理 #

你遇到两个关键异常：

1. 列表权限创建请求返回201成功，但查询接口无法找到该权限
2. 配置Lists.SelectedOperations.Selected权限后，应用仍能访问站点下所有列表

分步排查与修复 #

1. 修正权限创建的API请求格式 #

Beta版Graph API中，针对应用身份的权限授予，官方已推荐使用grantedToIdentitiesV2字段替代旧的grantedTo，原字段存在兼容性问题，导致权限创建后无法被查询到。修正后的请求体如下：

POST https://graph.microsoft.com/beta/sites/{siteId}/lists/{listId}/permissions
Content-Type: application/json

{
  "roles": ["read"],
  "grantedToIdentitiesV2": [
    {
      "application": {
        "id": "{appId}",
        "displayName": "你的Azure应用名称"
      }
    }
  ]
}

同时需确认siteId和listId为完整格式（例如contoso.sharepoint.com,abc123,def456），避免使用别名或相对路径。

2. 确保权限查询的令牌具备足够权限 #

调用GET https://graph.microsoft.com/beta/sites/{siteId}/lists/{listId}/permissions时：

• 若使用应用自身令牌，需先确保该应用已通过POST sites/{siteId}/permissions授予了目标站点的read或更高权限
• 优先使用站点管理员权限的用户令牌查询，排除应用自身权限不足导致的查询结果缺失

3. 修复Lists.SelectedOperations.Selected权限不生效问题 #

• 清理冗余权限：检查应用注册页，若存在Sites.Read.All、Sites.FullControl.All等宽泛站点权限，需立即移除——这类权限会覆盖细粒度的Lists.SelectedOperations.Selected限制
• 确认管理员同意：确保Lists.SelectedOperations.Selected权限已完成全局管理员同意，未同意的权限无法生效
• 等待同步时间：Graph权限同步通常需要15-30分钟，配置完成后不要立即测试，等待权限生效后再验证

4. 验证应用访问范围 #

使用应用令牌调用GET https://graph.microsoft.com/beta/sites/{siteId}/lists，确认仅能看到目标列表。若仍能访问所有列表：

• 检查目标站点是否通过sites/{siteId}/permissions给应用授予了站点级权限，如有则删除
• 确认租户未给该应用配置全局级的SP相关权限

内容的提问来源于stack exchange，提问作者Viktor Meglenovski