Graph API调用Planner接口报错，如何查询用户可访问的Office 365资源？

先唠唠你的问题：你已经拿到包含Tasks.ReadWrite等权限的OAuth令牌，但调用GET /groups/{group-id}/planner/plans时出错，想知道怎么识别用户可访问的资源，以及对应的Graph API方法。

一、先排查当前错误的可能原因 #

你遇到的“资源已移除、名称更改或暂时不可用”错误，大概率是这几个情况：

• 你用的{group-id}无效，或者这个组根本不是Office 365组（Planner计划只能绑定Office 365组，安全组/通讯组不支持）
• 用户并不是该组的成员，也没有被授予该组的访问权限（哪怕令牌里有Group.ReadWrite.All，实际资源访问权还是得看用户和组的关联关系）
• 这个组里还没创建过任何Planner计划

二、识别用户可访问资源的Graph API方法 #

确实有对应的Graph API可以列出用户能访问的相关资源，给你整理几个实用的：

1. 列出用户所属/有权访问的所有组

要找Planner计划，首先得明确用户在哪些Office 365组里。可以调用：

GET /me/memberOf

或者指定用户ID查询：

GET /users/{user-id}/memberOf

返回结果里，类型为group且groupTypes包含Unified的就是Office 365组，这类组才可能关联Planner计划。

2. 直接列出用户可访问的所有Planner计划

不用纠结group-id，直接调用这个接口就能拿到当前用户有权查看/编辑的所有Planner计划：

GET /me/planner/plans

这个接口会自动过滤用户无权限的计划，返回的每条结果都会包含关联的groupId，帮你快速确认哪些组里有可访问的计划。

3. 验证用户对特定组的访问权限

如果想确认用户是否能访问某个特定组，可以调用：

GET /groups/{group-id}/members/{user-id}/$ref

返回200 OK说明用户是该组成员；返回404则表示用户既不是成员，也没有被授予该组的访问权限。

另外，也可以查看组的权限授予明细：

GET /groups/{group-id}/permissionGrants

这个接口能看到哪些主体（用户/应用）被授予了该组的权限。

三、额外排查建议 #

• 确认权限类型：如果Group.ReadWrite.All是委托权限，用户必须是组的成员或被明确授予组访问权；如果是应用权限，要确保你的应用没有被管理员限制访问某些组。
• 检查条件访问策略：管理员可能设置了条件访问规则，限制应用在特定场景下访问资源，导致令牌虽有权限但实际无法访问。

内容的提问来源于stack exchange，提问作者Arunraj Manrajan