React/TypeScript调用Microsoft Graph API验证M365组所有者遇权限问题

1. 检查组所有者的Microsoft Graph API #

有的，你只需要把请求端点从/members替换为/owners即可获取M365组的所有所有者：

return fetch("https://graph.microsoft.com/v1.0/groups/<group-id>/owners", options)
    .then(response => response.json())
    .catch(error => console.log(error));

拿到所有者列表后，你可以对比当前登录用户的ID（从msalInstance.getActiveAccount()返回的account.idTokenClaims.oid字段），判断用户是否在所有者列表中。

2. 解决「Authorization_RequestDenied」权限错误 #

这个错误是因为你的应用缺少访问接口的必要权限，按以下步骤排查：

• 添加正确的API权限：在Azure AD应用注册中，为应用添加Microsoft Graph的Group.Read.All权限（可选委托权限或应用权限）。如果是委托权限，需要管理员完成权限同意操作（个人测试租户可自行同意）。
• 确认Token请求包含正确范围：检查loginRequest中的scopes数组，必须包含Group.Read.All，示例：

  const loginRequest = {
      scopes: ["User.Read", "Group.Read.All"]
  };
  

• 验证活跃账户设置：确保用户登录后调用过msalInstance.setActiveAccount(account)，否则getActiveAccount()可能返回空值。

代码修改示例 #

更新后的MsGraphApiCall.ts #

export async function callMsGraph() {
    const account = msalInstance.getActiveAccount();
    if (!account) {
        throw Error("No active account! Verify a user has been signed in and setActiveAccount has been called.");
    }

    const response = await msalInstance.acquireTokenSilent({
        ...loginRequest,
        account: account
    });

    const headers = new Headers();
    const bearer = `Bearer ${response.accessToken}`;
    headers.append("Authorization", bearer);

    const options = {
        method: "GET",
        headers: headers
    };

    // 调用组所有者接口
    return fetch("https://graph.microsoft.com/v1.0/groups/<group-id>/owners", options)
        .then(response => response.json())
        .catch(error => {
            console.log(error);
            throw error; // 抛出错误让组件捕获处理
        });
}

更新后的VerifyOwner组件 #

import { useState, useEffect } from 'react';
import { callMsGraph } from "../utils/MsGraphApiCall";
import { msalInstance } from '../utils/msalInstance'; // 假设你已导出msal实例

function VerifyOwner() {
  const [isOwner, setIsOwner] = useState(false);
  const [err, setError] = useState({});

  useEffect(() => {
    const checkOwnerStatus = async () => {
      try {
        const account = msalInstance.getActiveAccount();
        if (!account) throw Error("未检测到活跃登录账户");
        
        const ownersData = await callMsGraph();
        const currentUserId = account.idTokenClaims?.oid;
        // 判断当前用户是否在所有者列表中
        const userIsOwner = ownersData.value.some(owner => owner.id === currentUserId);
        setIsOwner(userIsOwner);
      } catch (error) {
        setError(error);
      }
    };

    checkOwnerStatus();
  }, [])  

  return (    
      <div>
        {err.message ? <p>错误：{err.message}</p> : 
         <p>当前用户是否为组所有者：{isOwner ? '是' : '否'}</p>}
      </div>
  );
}

内容的提问来源于stack exchange，提问作者user989988