调用Microsoft Graph API添加联系人时遇权限拒绝问题求助

核心问题在于授权流程中使用了https://graph.microsoft.com/.default作为scope，这在**授权码流程（用户委托权限）**中可能无法正确获取所需的联系人读写权限，加上权限同意环节可能存在疏漏，导致token缺少必要权限。以下是具体排查和修复步骤：

1. 替换授权流程中的Scope为具体委托权限 #

在授权码获取和Access Token获取流程中，将https://graph.microsoft.com/.default替换为明确的委托权限Contacts.ReadWrite，同时保留offline_access用于刷新token：

• 授权码请求的scope改为：https://graph.microsoft.com/Contacts.ReadWrite offline_access
• Access Token请求的scope保持一致：https://graph.microsoft.com/Contacts.ReadWrite offline_access

原因：.default在授权码流程中会包含应用注册中配置的所有静态委托权限，但如果用户未完成权限同意或权限配置有误，会导致token缺失必要权限。使用具体scope可明确请求所需权限，确保用户同意流程中正确授权。

2. 验证权限配置与同意状态 #

• 确认Azure应用注册中已添加委托权限Contacts.ReadWrite（而非应用权限），并完成权限同意：
  • 个人账号：用户首次授权时需确认同意权限弹窗
  • 工作/学校账号：需管理员完成管理员同意（若权限要求）
• 检查应用注册的API权限列表，确保Contacts.ReadWrite权限状态为“已同意”

3. 解析Access Token确认权限 #

使用JWT解析工具解析获取到的Access Token，检查scp字段是否包含Contacts.ReadWrite：

• 若scp字段无该权限，说明授权流程未正确获取权限，需重新执行授权流程并确保用户同意权限
• 若roles字段出现权限，说明使用了错误的授权流程：/me/contacts仅支持委托权限，应用权限需使用/users/{user-id}/contacts端点

4. 完善错误处理获取详细信息 #

修改代码中的错误逻辑，输出Graph API返回的具体错误信息，而非仅状态码，方便精准定位：

public function createContact()
{
    $client = new Client();

    try {
        $response = $client->post('https://graph.microsoft.com/v1.0/me/contacts', [
            'headers' => [
                'Authorization' => 'Bearer ' . $this->getAccessTokenBasedOnUser(),
                'Accept' => 'application/json',
                'Content-Type' => 'application/json',
            ],
            'json' => [
                'givenName' => 'Shankari',
                'surname' => 'S',
                'emailAddresses' => [
                    [
                        'address' => 'shankari@outlook.com',
                        'name' => 'Shankari S'
                    ]
                ],
                'businessPhones' => [
                    '+91 7894XXXXXX', '+91 963YYYY456'
                ],
            ],
        ]);

        if ($response->getStatusCode() == 201) {
            return "Contact created";
        } else {
            $errorDetails = json_decode($response->getBody()->getContents(), true);
            return "Failed to create the contact. Error: " . $errorDetails['error']['message'];
        }
    } catch (\Exception $e) {
        return "Request failed: " . $e->getMessage();
    }
}

5. 对齐Graph Explorer的授权逻辑 #

Graph Explorer使用动态权限请求，会明确向用户请求Contacts.ReadWrite权限，因此能正常执行。你的应用需对齐该逻辑，使用具体scope而非.default，确保权限请求明确。

内容的提问来源于stack exchange，提问作者Shankari