调用Microsoft Graph获取Outlook日历事件遇403禁止访问求助

• 权限类型与授予流程不匹配
  若使用应用权限，必须在Azure AD完成管理员同意操作，仅添加权限但未确认管理员同意会导致权限未生效。如果是委托权限，只能访问当前登录用户自身的日历，无法通过/users/{id}/events路径访问其他用户日历，除非目标用户已将日历共享给登录用户。

• 权限范围未覆盖需求
  即使标注了“全部用户/邮件/日历权限”，也要确认具体权限值：

  • 应用权限需配置Calendars.Read或Calendars.ReadWrite，才能访问所有用户的日历；
  • 委托权限要访问其他用户日历，需配置Calendars.Read.Shared或Calendars.ReadWrite.Shared，同时目标用户需完成日历共享操作。

• 目标用户的日历隐私设置拦截
  Microsoft 365商业版中，目标用户可能设置了日历隐私权限，拒绝其他用户或应用访问。这类用户级别的隐私设置会优先于应用权限，导致请求被拦截。

• Graph Explorer权限配置遗漏
  在Graph Explorer测试时，需手动点击右上角“修改权限”按钮，勾选对应日历权限并完成管理员同意，同时确保登录用户本身拥有访问目标用户日历的权限。

• 应用注册配置错误
  检查Azure AD应用注册的身份验证设置：

  • 使用客户端凭据流（应用权限）时，需确保应用是机密客户端（配置了客户端密码或证书）；
  • 使用授权码流（委托权限）时，需确认重定向URI配置正确，且请求token时指定了正确的权限范围。

• 访问Token权限缺失
  解码获取的访问Token（可通过本地工具解析），查看roles（应用权限）或scp（委托权限）声明是否包含所需的日历权限。如果Token中无对应权限，说明权限未正确授予，或请求Token时未指定正确范围。

内容的提问来源于stack exchange，提问作者webbymaster