调用Microsoft Graph API获取SharePoint数据遇权限拒绝问题排查

以下是几个常见的排查方向，逐一验证即可定位问题：

• 确认权限类型与授予状态

  • 如果你用的是clientid+secret的客户端凭证流获取token，必须配置Application类型权限（Delegated权限在此流中不生效），比如Sites.Read.All、Sites.ReadWrite.All或Sites.Selected。
  • 所有Application权限都需要管理员同意，在Azure门户的应用注册→权限→授予管理员同意，确保状态显示“已授予”。
  • 如果用的是Sites.Selected权限，还要额外通过Graph API给目标站点绑定应用权限：调用POST https://graph.microsoft.com/v1.0/sites/{siteId}/permissions，添加应用服务主体的权限条目。

• 验证Drive ID的正确性

  • 确保someDriveId是目标SharePoint站点文档库的ID，而非个人OneDrive ID。可以先调用GET https://graph.microsoft.com/v1.0/sites/{siteId}/drives获取该站点下所有驱动器的ID，再替换到请求中。

• 检查Token的权限内容

  • 解析获取到的token，查看roles字段（对应Application权限）是否包含你配置的权限。如果没有，说明token请求参数有误：客户端凭证流的scope参数必须是https://graph.microsoft.com/.default，否则不会返回配置的应用权限。

• 排查文档库的权限继承

  • 如果目标文档库断开了权限继承，即使应用有站点级权限，也需要单独给应用服务主体分配该文档库的读取权限。进入SharePoint站点的文档库设置→权限设置，确认应用账号有访问权限。

• 检查应用注册的基础配置

  • 确认客户端密钥（client secret）未过期，且在Azure门户的应用注册→证书和密码中状态为“有效”。
  • 如果是多租户应用，确认目标租户的管理员已完成权限授予；单租户应用则需确保应用注册在目标租户内。

内容的提问来源于stack exchange，提问作者bart2puck