使用Microsoft Graph指定用户访问日历事件时遇403权限拒绝问题

核心问题：权限类型不匹配 #

你现在拿到的是**委托权限（Delegated Permissions）**的token（从scp字段能判断，应用权限对应的标识是roles字段），但你要调用的是跨用户的日历接口，这需要对应正确的权限配置：

1. 明确委托权限与应用权限的差异 #

• 委托权限（scp字段）：以当前登录用户的身份访问API，默认仅能访问当前用户（/me）的资源。要访问其他用户的日历，需添加委托权限类型的Calendars.ReadWrite.All或Calendars.ReadWrite.Shared，而非应用权限里的同名权限。
• 应用权限（roles字段）：以应用自身身份访问API，无需用户登录。这种场景下，Application.ReadWrite.All或Calendars.ReadWrite（应用权限类型）才能允许访问任意用户的日历。

2. 调整权限配置与token获取流程 #

• 若继续使用委托权限流程：
  • 前往Azure AD应用注册的API权限页面，确认添加的是委托权限类型的Calendars.ReadWrite.All或Calendars.ReadWrite.Shared，并让管理员完成权限同意操作。
  • 重新获取token，检查scp字段是否包含对应权限。
• 若改用应用权限流程：
  • 必须使用**客户端凭证流程（Client Credentials Flow）**获取token，此时token中会出现roles字段，包含你配置的应用权限。
  • 注意：客户端凭证流程无需用户参与，直接通过应用的Client ID和Secret获取token。

3. 额外验证点 #

• 确认管理员已对添加的权限完成同意操作（委托权限需管理员同意所有用户使用，应用权限需管理员同意应用本身使用）。
• 可排查目标用户的日历是否有特殊权限限制（比如禁止其他用户访问），不过你能正常调用/users接口，大概率还是权限类型不匹配的问题。

补充说明 #

你能正常调用/users端点，是因为委托权限下的User.ReadWrite.All允许访问用户基本信息，但日历资源有独立的权限控制逻辑，因此出现权限拒绝。

内容的提问来源于stack exchange，提问作者3chan