Outlook日历事件创建权限方案咨询：委托与应用权限疑问

一、委托权限：高效管理多用户短期访问令牌的方法 #

• 利用刷新令牌：用户首次授权后，除了短期访问令牌，还会获得有效期90天左右的刷新令牌。当访问令牌过期时，直接用刷新令牌调用接口换取新的访问令牌，无需用户再次登录授权。
• 安全存储令牌：将每个用户的刷新令牌与用户ID绑定，存储到加密的数据库或密钥管理服务中，避免明文泄露。
• 自动刷新机制：在访问令牌过期前（比如提前5分钟），自动触发刷新逻辑，确保业务流程不中断。
• 异常兜底：如果刷新令牌过期或被租户吊销，再引导用户重新完成授权，这种情况出现概率极低，不会影响多数用户的正常使用。

二、应用权限相关问题解答 #

1. 是否支持任意租户用户？ #

应用权限仅能访问已授权该应用的租户内的用户日历。如果要覆盖任意租户，需要满足两个条件：

• 你的应用配置为多租户应用；
• 目标租户的管理员必须为你的应用授予对应的日历权限（如Calendars.ReadWrite）。
  注意：个人Microsoft账户（如outlook.com、hotmail.com）不支持应用权限，只能使用委托权限。

2. 管理员授权流程 #

• 先在Azure AD中配置应用的应用权限（添加Calendars.ReadWrite这类日历相关权限），并将应用设置为多租户（或单租户，针对特定企业租户）。
• 构造管理员授权链接：链接需包含你的应用客户端ID、权限范围（格式为https://graph.microsoft.com/.default）、重定向URI、租户ID（多租户场景用common）。
• 让目标租户的管理员访问该链接，登录后确认授予权限，授权完成后，你的应用即可通过应用权限访问该租户内所有用户的日历。
• 授权成功后，使用应用的客户端ID+密钥（或证书）获取访问令牌，调用Microsoft Graph API创建日历事件。

内容的提问来源于stack exchange，提问作者Nikhil Mandaliya