OAuth授权码流能否分阶段授予部分权限？模块化应用权限咨询

核心结论 #

完全可以分阶段请求权限，且不会破坏已授予的日历权限，无需创建多个Azure应用注册，借助Microsoft Identity Platform的增量权限同意机制就能实现。

具体实现步骤 #

1. Azure应用注册配置 #

• 在同一个Azure AD应用注册中，添加所有需要的委托权限：日历读写Calendars.ReadWrite、联系人只读Contacts.Read（因为是用户级权限请求，必须选委托权限）。
• 确保应用的认证配置（如重定向URI）符合你的应用类型（Web/SPA/桌面/移动）要求，支持OAuth2授权码或隐式流程。

2. 分阶段发起权限请求 #

• 第一阶段（启用日历模块）：发起授权请求时仅指定日历相关权限：

  https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/authorize?
  client_id={client-id}
  &response_type=code
  &redirect_uri={redirect-uri}
  &scope=Calendars.ReadWrite offline_access
  &response_mode=query
  

  用户同意后，应用将获得包含日历权限的访问令牌和刷新令牌。

• 第二阶段（启用联系人模块）：当用户触发联系人功能时，再次发起授权请求，新增联系人权限（可保留原有权限，平台会自动合并）：

  https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/authorize?
  client_id={client-id}
  &response_type=code
  &redirect_uri={redirect-uri}
  &scope=Calendars.ReadWrite Contacts.Read offline_access
  &response_mode=query
  

  此时用户只会看到新增的联系人权限请求，已同意的日历权限不会重复弹窗。授权完成后，应用将获得包含所有已同意权限的新令牌，原有日历权限不受任何影响。

3. 令牌刷新与权限维护 #

• 使用刷新令牌获取新访问令牌时，只需在请求的scope参数中包含所有需要的权限，平台会自动返回包含全部已同意权限的令牌，无需重复请求用户同意。

额外注意事项 #

• 仅委托权限支持增量同意，应用级权限必须一次性请求所有权限，无法分阶段授权。
• 如果是租户管理员操作，可能会看到「管理员同意」选项，可一次性为所有用户同意权限，但普通用户仍能按模块分阶段授权。
• 该机制支持所有Microsoft Identity Platform兼容的应用类型，无需额外改造架构。

关于多应用注册方案的补充 #

你提到的多应用注册方案虽然可行，但会增加应用管理复杂度（多应用配置、权限维护），且用户需要多次授权不同应用，体验远不如单应用增量同意流畅，因此优先推荐单应用增量同意方案。

内容的提问来源于stack exchange，提问作者Eric Ruder