调用Microsoft Graph API搜索文件时出现403 Forbidden错误：是权限范围还是文件权限问题？

嘿，你遇到的这个403禁止访问问题，十有八九是权限配置不匹配或者应用没有足够的文件访问权限导致的，我帮你梳理下排查和解决的步骤：

一、先确认权限范围和应用权限配置 #

你当前用的https://graph.microsoft.com/.default这个范围是没问题的，它会包含你在应用注册里配置的所有权限，但关键是你得给应用配对适合搜索文件的权限：

• 如果要搜索个人OneDrive的文件，需要添加Files.Read.All或者Files.ReadWrite.All（注意是「应用权限」，不是委托权限）
• 如果要搜索SharePoint站点文档库的文件，需要添加Sites.Read.All或者Sites.ReadWrite.All（同样是应用权限）

划重点：你用的是ClientSecretCredential（客户端凭证流），这种认证方式只能使用应用权限，委托权限在这里是不起作用的。

二、别忘让管理员授予权限同意 #

配置完权限后，一定要让租户管理员在应用注册页面点击「授予管理员同意」，否则哪怕你加了权限，应用也拿不到实际的访问权限，这是很多人踩坑的点！

三、检查你访问的Drive是不是目标资源 #

你现在用的graphClient.drive().root()默认访问的是应用自身的OneDrive（如果是多租户应用，这个Drive可能不是你要找的），如果要访问特定用户的OneDrive，得改成这样：

graphClient.users("目标用户ID或邮箱").drive().root()...

如果是访问SharePoint站点的文档库，要改成：

graphClient.sites("站点ID").drive().root()...

四、修正后的可运行代码示例 #

等权限配置好并获得管理员同意后，用官方封装的搜索方法应该就能正常工作了，给你个完整的示例：

// 客户端凭证初始化
final ClientSecretCredential clientSecretCredential = new ClientSecretCredentialBuilder()
    .clientId("你的客户端ID")
    .clientSecret("你的客户端密钥")
    .tenantId("你的租户ID")
    .build();
final TokenCredentialAuthProvider tokenCredAuthProvider = new TokenCredentialAuthProvider(List.of("https://graph.microsoft.com/.default"), clientSecretCredential);
final GraphServiceClient graphClient = GraphServiceClient
    .builder()
    .authenticationProvider(tokenCredAuthProvider)
    .buildClient();

// 搜索指定用户OneDrive中的文件
DriveItemSearchCollectionPage search = graphClient
    .users("target-user@your-tenant.com")
    .drive()
    .root()
    .search(DriveItemSearchParameterSet.newBuilder()
        .withQ("File_Name").build())
    .buildRequest()
    .get();

额外排查小提示 #

• 确认目标文件所在的Drive/站点没有额外的权限限制，比如SharePoint站点的权限设置有没有把你的应用排除在外
• 检查应用注册里的「身份验证」设置，有没有勾选不必要的选项导致冲突（不过客户端凭证流一般不需要调整这里）

内容的提问来源于stack exchange，提问作者Artur Kovalchuk