配置Microsoft Graph API权限后仍遇权限缺失错误求助

问题本质 #

错误提示里的Roles on the request ''是核心——你的访问令牌没有携带任何所需权限，和你所说的“已配置权限”不符，要么是权限未生效，要么是获取令牌的流程存在问题。

排查&解决步骤 #

• 确认权限配置落地：

  1. 进入Azure AD应用注册页面，确保添加的是委托权限（因为/me接口代表当前用户上下文，需使用Delegated类型权限），且权限属于错误提示列出的范围（优先选择Team.ReadBasic.All，遵循最小权限原则）。
  2. 必须完成管理员同意操作：带All后缀的租户级权限，需要全局管理员或对应权限管理员点击“授予管理员同意”，否则普通用户的访问令牌不会包含该权限。

• 检查令牌请求参数：
  调用https://login.microsoftonline.com/4c3a1b30-xxxx-xxxx-9581-0281c4427992/oauth2/token时，scope参数必须明确包含所需权限，示例如下：

  scope=https://graph.microsoft.com/Team.ReadBasic.All https://graph.microsoft.com/User.Read
  

  若缺少该参数或参数内容错误，令牌中将不会携带对应权限。

• 验证令牌内容：
  使用本地JWT解析工具解码获取到的令牌，查看scp字段——委托权限会存储在此字段中。如果未找到Team.ReadBasic.All，说明令牌获取流程存在问题，需返回检查请求参数。

• 权限最小化建议：
  避免盲目添加高权限（如Directory.Read.All），Team.ReadBasic.All已完全满足“获取已加入Teams详情”的需求，权限范围越小越安全。

内容的提问来源于stack exchange，提问作者Medha Barrenkala