调用MS Graph API访问日历及配置权限均遇访问拒绝问题求助

核心问题定位 #

• Graph Explorer能正常操作，是因为它默认使用委派权限（Delegated Permissions），且会引导用户完成授权同意；你的代码要么权限配置错误，要么没正确触发用户授权流程，导致权限不足。
• 两段代码的权限需求完全不同：
  • 查询自己日历（/me/events）需要Calendars.Read或Calendars.ReadWrite委派权限；
  • 修改其他用户日历权限（/users/{userId}/calendar/calendarPermissions/{id}）需要Calendars.ReadWrite.Shared或针对自身日历的Calendar.ReadWrite权限，且该操作不能用应用权限直接操作其他用户资源，必须通过用户授权后的上下文执行。

实现用户自主授权的正确方案 #

1. 配置正确的委派权限 #

在Azure AD应用注册中，添加以下委派权限（按需选择）：

• 基础日历访问：Calendars.Read（只读）、Calendars.ReadWrite（读写自身日历）
• 共享日历权限管理：Calendars.ReadWrite.Shared（修改共享日历权限）

添加后，若为租户内应用可点击「授予管理员同意」，否则让用户在登录时自主确认这些权限。

2. 采用授权码流程获取用户Token #

必须用OAuth2的授权码流程，不能用客户端凭证流程——后者是应用权限，无法代表用户操作，也不支持用户自主授权。

3. 修正代码逻辑 #

（1）查询自身日历的代码（逻辑正确，需确保Token含对应权限）

确保graphClient用用户授权后的Token初始化，示例：

// 用授权码获取的用户Token初始化GraphClient
var scopes = new[] { "Calendars.Read" };
var tokenCredential = new TokenCredentialProvider(...); // 传入用户的access token
var graphClient = new GraphServiceClient(tokenCredential, scopes);

// 保留你的查询代码，确保Token包含Calendars.Read权限
var result = await graphClient.Me.Events.GetAsync((requestConfiguration) =>
{
    requestConfiguration.QueryParameters.Select = new[] { "subject", "organizer", "start", "end" };
});

（2）修改日历权限的代码修正

你当前的代码是修改其他用户的日历权限，需满足两个条件：

• 当前用户拥有该日历的管理权限（比如是所有者，或被授予权限管理权限）；
• Token包含Calendars.ReadWrite.Shared权限。

如果是让用户管理自己的日历权限，路径应改为/me/calendar/calendarPermissions/{id}：

var requestBody = new CalendarPermission
{
    Role = CalendarRoleType.Read
};

// 修改自身日历的权限
var result = await graphClient.Me.Calendar.CalendarPermissions["798ee544-9d2d-430c-a058-570e29e34338"]
    .PatchAsync(requestBody);

若确实要修改其他用户的日历权限，需确保：

• 当前用户是租户管理员，或被目标用户授予了日历权限管理权限；
• 应用已添加Calendars.ReadWrite.Shared委派权限，且用户已同意。

4. 常见排查步骤 #

• 检查Token权限：用JWT解析工具查看access token的scp字段，确认包含所需权限（如Calendars.Read、Calendars.ReadWrite.Shared）；
• 确认权限类型：用户自主授权场景必须用委派权限，不要混用应用权限；
• 检查API上下文：/me仅支持委派权限，应用权限下必须用/users/{userId}，但应用权限操作其他用户日历需要高权限，且不支持用户自主授权。

内容的提问来源于stack exchange，提问作者sid