SharePoint应用可连接站点但创建文件夹报403，请求排查权限问题

背景信息 #

• 通过layouts/15/appregnew.aspx创建SharePoint应用，在XYZ站点配置的权限如下：

<AppPermissionRequests AllowAppOnlyPolicy="true">
  <AppPermissionRequest Scope="https://xxx.sharepoint.com/sites/XYZ"  Right="FullControl"/>
</AppPermissionRequests>

• 以下代码可成功连接站点集：

sp_url = "https://xxx.sharepoint.com/sites/XYZ"
ctx = ClientContext(sp_url).with_credentials(ClientCredential(client_id, client_secret))
target_web = ctx.web.get().execute_query()

问题现象 #

执行创建文件夹代码时触发403权限拒绝异常：

ClientRequestException: ('-2147024891, System.UnauthorizedAccessException', 'Access denied.', "403 Client Error: Forbidden for url: https://xxx.sharepoint.com/sites/XYZ/api/Web/lists/GetByTitle('Documents')/RootFolder/Folders/Add('Shared%20Documents%2Fnp%2Fdev%2Fxxx%231xxx')")

相关代码：

target_list = ctx.web.lists.get_by_title("Documents")
target_folder = target_list.root_folder.folders.add(f"Shared Documents/{tenant}/{env}/{report_name}")

排查与解决方案 #

• 确认权限已完成审批：仅配置权限XML不代表权限生效，需管理员在_layouts/15/appinv.aspx提交权限请求后，在SharePoint管理中心的应用权限管理中完成审批，确保FullControl权限已成功授予给该应用。
• 检查权限范围匹配度：验证权限Scope中的URL与实际站点URL完全一致（注意大小写、是否包含后缀斜杠等细节），避免因URL不匹配导致权限无法覆盖目标站点。
• 排查文档库独特权限：若Documents库中断了权限继承（设置了独特权限），即使应用拥有站点级FullControl，也无法操作该库。进入库的「设置>权限设置」，确认权限继承状态，若已中断，需手动为应用授予该库的FullControl权限。
• 验证文件夹路径有效性：检查代码中拼接的路径是否符合SharePoint命名规则，避免非法字符；尝试拆分创建步骤，先创建父层级文件夹，再创建子文件夹，排除路径层级过多导致的权限校验问题。
• 换用文件夹创建方式：尝试通过Web对象直接操作根文件夹，验证是否为文档库层面的权限问题：

  root_folder = ctx.web.get_folder_by_server_relative_url("Shared Documents")
  new_folder = root_folder.folders.add(f"{tenant}/{env}/{report_name}")
  ctx.execute_query()
  

内容的提问来源于stack exchange，提问作者Samin Siddiqui