通过Microsoft Graph获取Planner计划列表遇未文档化过滤及权限问题

问题根源解析 #

1. 必须过滤的原因：/planner/plans端点不允许无过滤的全局查询，必须指定owner（组ID）、容器类型+容器ID或contextScenarioId，这是API的强制约束，部分文档可能未明确标注。
2. 权限报错原因：虽然你已配置Tasks.Read.All等权限，但直接通过owner过滤查询计划时，需要确保组权限（Group.Read.All/Group.ReadWrite.All）已完成管理员同意，且权限范围覆盖目标组。

解决方案 #

方案一：通过组导航属性查询（推荐）

利用组与Planner计划的关联导航关系，直接从组资源下获取计划，无需手动写过滤条件，权限匹配更清晰：

// 替换config.GroupId为目标组的ID
var groupPlans = await graphClient.Groups[config.GroupId].Planner.Plans.GetAsync();

对应的API请求：

GET https://graph.microsoft.com/v1.0/groups/{groupId}/planner/plans

该方式仅需确保你的应用已获得Group.Read.All（或Group.ReadWrite.All）和Tasks.Read.All（或Tasks.ReadWrite.All）的管理员同意权限即可正常访问。

方案二：修正/planner/plans端点的过滤逻辑

若坚持使用全局计划端点，可改用容器属性过滤，格式更严谨，同时确认权限状态：

var response = await graphClient.Planner.Plans.GetAsync(requestConfig => {
    requestConfig.QueryParameters.Filter = $"container/containerType eq 'group' and container/containerId eq '{config.GroupId}'";
});

关键排查点 #

• 检查Azure AD应用注册中的权限状态，确保Group.Read.All/Group.ReadWrite.All和Tasks.Read.All/Tasks.ReadWrite.All已被全局管理员授予同意（权限列表中显示“已授予”）。
• 确认目标组未设置限制外部应用访问的规则，确保应用服务主体能正常读取组资源。
• 单个计划能正常获取说明Tasks.Read.All权限有效，列表查询的核心问题在于组权限的授权状态或过滤条件的正确性。

内容的提问来源于stack exchange，提问作者awj