咨询Microsoft Graph权限重叠与层级关系的权威文档获取途径

1. 查看单个权限的官方详情说明 #

每个Microsoft Graph权限的官方详情页中，会明确标注权限的覆盖关系。比如带All后缀的权限（如User.Read.All），通常会在“权限范围”板块说明它包含同基础权限（User.Read）的所有操作，并扩展到全资源范围。直接在Graph权限列表里定位目标权限，查看其“关联权限”和“权限说明”部分即可找到重叠信息。

2. 通过Graph API查询权限依赖 #

调用GET /oauth2PermissionScopes（委托权限）或GET /applicationPermissionScopes（应用权限）接口，返回的响应中includes字段会直接列出当前权限所覆盖的子权限。例如查询Directory.Read.All时，该字段会显示它包含Directory.Read、User.Read.All等权限的操作范围。

3. 理解权限的分层逻辑 #

Graph权限按资源类型+操作范围形成层级：

• 基础级：单资源单范围，如User.Read仅能读取当前用户数据
• 扩展级：单资源全范围，如User.Read.All可读取所有用户数据，完全覆盖User.Read
• 聚合级：多资源全范围，如Directory.Read.All覆盖目录内用户、组、应用等所有资源的读取权限，包含对应子资源的扩展级权限
  同一资源维度下，后缀为All的权限必然是同类型基础权限的超集；跨资源的聚合权限则是对应子资源权限的超集。

4. 参考官方权限规划文档 #

微软官方的Graph权限最佳实践文档中，包含权限映射矩阵和层级梳理表，比如“目录权限层级”“用户权限覆盖关系表”，这些内容会明确标注权限间的子集、父集关系。重点关注“最小权限原则”章节的配套说明，里面有大量权限覆盖逻辑的实例。

内容的提问来源于stack exchange，提问作者Saggy