React SPFX WebPart获取AAD角色/组的实现及权限报错咨询

一、技术选型：必须使用Microsoft Graph #

SharePoint REST API只能返回SharePoint本地组，无法直接获取AAD目录中的组或角色，因此必须通过Microsoft Graph来实现。你可以选择两种便捷方式：

• 优先使用SPFx内置的MSGraphClient：无需手动处理令牌，SPFx已封装好授权逻辑
• 使用Microsoft Graph Toolkit(MGT)：通过组件或简化的API调用Graph，但需要配置权限

二、解决AADSTS65001权限错误 #

这个错误并非仅出现在Workbench，部署到正式SPO站点后同样会触发，核心原因是你的WebPart请求的Graph权限未被管理员授予。

为什么已登录仍需令牌？ #

用户登录SharePoint时获得的令牌仅包含SharePoint相关权限，不具备访问Microsoft Graph的权限。访问Graph需要专门的授权令牌，因此必须完成权限申请与批准流程。

具体解决步骤 #

方案1：使用SPFx内置MSGraphClient（推荐）

无需引入额外库，直接用SPFx提供的客户端调用Graph：

// 导入依赖
import { MSGraphClient } from '@microsoft/sp-http';

// 在WebPart的业务逻辑中调用
async getAADGroups(): Promise<string[]> {
  const graphClient = await this.context.msGraphClientFactory.getClient();
  // 调用Graph API获取用户所属的AAD组（过滤掉角色，只保留组）
  const response = await graphClient.api('/me/memberOf').get();
  return response.value
    .filter(item => item['@odata.type'] === '#microsoft.graph.group')
    .map(group => group.displayName);
}

然后配置Graph权限：
打开config/package-solution.json，在webApiPermissionRequests数组中添加权限声明：

{
  "resource": "Microsoft Graph",
  "scope": "User.ReadBasic.All"
}

提示：如果需要读取更多组详情，可能需要Group.Read.All权限，根据实际需求调整。

最后完成部署与权限批准：

1. 将WebPart打包并部署到SPO应用目录
2. 管理员登录SharePoint管理中心，进入API访问页面，找到对应的权限请求并批准
3. 等待数分钟权限生效后，WebPart即可正常获取AAD组

方案2：修复MGT的SharePointProvider配置

如果你坚持使用MGT，需完成以下步骤：

1. 同样在package-solution.json中添加上述Graph权限声明，由管理员批准
2. 确保MGT版本与SPFx版本兼容，将Provider初始化代码放在onInit方法中：

import { Providers, SharePointProvider } from "@microsoft/mgt";

protected async onInit(): Promise<void> {
  await super.onInit();
  Providers.globalProvider = new SharePointProvider(this.context);
}

3. 权限生效后，即可通过MGT的API或组件获取AAD组：

async getAADGroupsViaMGT(): Promise<string[]> {
  const response = await Providers.globalProvider.graph.api('/me/memberOf').get();
  return response.value
    .filter(item => item['@odata.type'] === '#microsoft.graph.group')
    .map(group => group.displayName);
}

三、关键注意事项 #

• 所有Graph权限必须由管理员批准，普通用户无法自行同意
• 权限批准后可能需要等待5-10分钟才能生效
• Workbench与正式站点的权限逻辑完全一致，错误不会仅出现在Workbench中

内容的提问来源于stack exchange，提问作者Bobby Ortiz