Rails应用如何感知Azure AD中管理员撤销的Office365账户权限？

好问题！当Azure AD管理员通过删除企业应用撤销了权限同意后，你的Rails应用可以通过以下几种方式及时感知到变化，并给用户展示合适的提示：

一、通过API调用的错误响应识别 #

这是最直接且容易落地的方式，权限被撤销后，应用在调用Microsoft Graph API或使用令牌时会收到明确的错误信号：

• 刷新令牌失效错误：当你尝试用刷新令牌获取新访问令牌时，会返回invalid_grant错误，附带类似"AADSTS65001: The user or administrator has not consented to use the application..."的描述。在Rails里，你可以在处理OAuth令牌刷新的逻辑中捕获这个错误，直接引导用户重新走授权流程。
• API调用权限不足错误：如果拿着旧访问令牌调用需要权限的API（比如读取用户邮箱），会收到403 Forbidden状态码，错误代码可能是insufficient privileges或accessDenied。你可以在API请求的异常处理中检测这些错误，向用户展示诸如“你的Office365访问权限已被管理员撤销，请联系管理员或重新绑定账户”的提示。

举个Rails里的简单伪代码示例：

def fetch_user_mailbox
  begin
    response = graph_api_client.get('/me/mailfolders')
    # 处理正常业务逻辑
  rescue Faraday::Error::ClientError => e
    error_details = JSON.parse(e.response.body)
    error_code = error_details.dig('error', 'code')
    if ['insufficient privileges', 'accessDenied'].include?(error_code)
      flash[:alert] = '你的Office365访问权限已被管理员撤销，请联系管理员或重新绑定账户'
      redirect_to oauth_office365_authorization_path
    else
      # 处理其他API错误
    end
  end
end

二、利用Azure AD的Webhook通知（Change Notifications） #

Azure AD提供了Change Notifications功能，允许应用订阅特定资源的变更事件，其中就包含服务主体（对应Azure AD里的企业应用）的删除或权限变更事件：

• 首先，要在Azure AD注册的应用中申请Application.Read.All或Directory.Read.All的应用权限（需要管理员同意），这样才能订阅服务主体的变更通知。
• 在你的Rails应用中创建一个Webhook端点（比如/azure_ad/webhook），用来接收Azure AD发送的POST通知。
• 通过Microsoft Graph API创建订阅，指定监听的资源为/servicePrincipals，并设置通知类型为deleted或updated（权限被撤销时，服务主体的权限属性会发生更新）。
• 收到Webhook通知后，解析内容找到对应的服务主体ID，关联到你应用中绑定了该Office365账户的用户，标记其权限状态为已撤销，触发提示逻辑。

注意：Webhook需要先处理Azure AD的验证请求（会发送验证令牌到你的端点，需返回正确响应确认端点有效），还要处理通知的重试机制，避免遗漏事件。

额外建议：定期主动验证权限 #

为了避免用户在操作中途才发现权限问题，你可以在用户每次登录应用，或者访问Office365相关核心功能时，主动做一次权限验证：

• 调用Microsoft Graph API的/me接口，或专门检查权限的接口，确认令牌的有效性和权限范围。
• 如果验证失败，直接引导用户重新授权，提升整体用户体验。

内容的提问来源于stack exchange，提问作者Neha Gupta