Microsoft Graph委托权限异常：获取全租户Teams而非用户所属Teams

核心原因 #

你遇到的问题源于两个关键因素：

1. 权限范围不符需求：GroupMember.Read.All委托权限在管理员同意后，允许应用以当前用户身份读取租户内所有组的信息，而非仅用户已加入的组。该权限的设计目标就是支持全租户级别的组成员数据访问，因此会返回所有符合过滤条件的团队。
2. API调用路径错误：直接调用/groups接口并过滤Teams，在拥有全租户权限的情况下，必然返回所有关联Teams的组。而你需要的是用户自身加入的团队，应该使用用户关联的专属接口。

正确解决方案 #

1. 调整API调用路径 #

放弃/groups接口，改用/me/joinedGroups接口并添加Teams过滤条件，仅返回当前用户已加入的团队：

GET https://graph.microsoft.com/v1.0/me/joinedGroups?$filter=resourceProvisioningOptions/Any(x:x eq 'Team')

2. 优化权限配置 #

你的需求不需要高权限的GroupMember.Read.All，改用**Group.ReadBasic.All**委托权限即可：

• 该权限仅需用户自身同意，无需管理员审批，符合最小权限原则；
• 它支持读取用户已加入组的基本信息，完全满足业务需求。

3. 修正授权Scope #

你当前的授权链接未包含组权限，导致令牌中缺少对应权限。需将Group.ReadBasic.All加入授权Scope：

https://login.microsoftonline.com/[tenant]/oauth2/v2.0/authorize?client_id=[clientId]&redirect_uri=[redirectUri]&response_type=code&response_mode=query&prompt=consent&scope=https%3A%2F%2Fgraph.microsoft.com%2Fuser.read https%3A%2F%2Fgraph.microsoft.com%2FGroup.ReadBasic.All offline_access

补充说明 #

若坚持使用GroupMember.Read.All，也可通过添加额外过滤条件限制返回结果，但这种方式效率更低，不推荐：

GET https://graph.microsoft.com/v1.0/groups?$filter=resourceProvisioningOptions/Any(x:x eq 'Team') and members/any(m:m/id eq '[user-id]')

内容的提问来源于stack exchange，提问作者Bjrk