C#委托模式下Microsoft Graph客户端的Scope选择疑问

核心结论 #

不需要使用https://graph.microsoft.com/.default，直接指定User.Read和Calendars.ReadWriteShared两个Scope即可——.default在委托模式下会请求所有已在Azure AD中为你的应用配置的委托权限，完全不符合你只需要特定权限的需求，反而会让用户看到过多授权请求，体验糟糕且违反最小权限原则。

各权限行为说明 #

• User.Read：允许应用读取登录用户的基础个人信息（姓名、邮箱、头像等），是多数Graph API调用的基础权限，用户登录时通常会默认同意，但仍需明确声明。
• Calendars.ReadWriteShared：允许应用读取、创建、更新、删除用户有权访问的共享日历中的事件。如果需要操作用户自己的日历，需改用Calendars.ReadWrite，但你明确需求是共享日历，所以这个权限完全匹配。

C#代码示例 #

以下是基于MSAL（Microsoft Identity Client）和Microsoft Graph SDK的完整示例，适配桌面/控制台应用的委托模式（Web应用只需调整MSAL客户端类型和令牌获取方式）：

首先安装必要的NuGet包：

Install-Package Microsoft.Identity.Client
Install-Package Microsoft.Graph

代码实现：

using Microsoft.Identity.Client;
using Microsoft.Graph;
using System;
using System.Threading.Tasks;

namespace GraphCalendarDelegateDemo
{
    class Program
    {
        static async Task Main(string[] args)
        {
            // 替换为你的Azure AD配置
            string tenantId = "your-tenant-id";
            string clientId = "your-client-id";
            
            // 明确指定所需的两个权限Scope
            string[] requiredScopes = new[]
            {
                "https://graph.microsoft.com/User.Read",
                "https://graph.microsoft.com/Calendars.ReadWriteShared"
            };

            // 初始化MSAL客户端（桌面应用用PublicClientApplication）
            var publicClient = PublicClientApplicationBuilder
                .Create(clientId)
                .WithTenantId(tenantId)
                .WithRedirectUri("http://localhost") // 需在Azure AD应用注册中配置此重定向URI
                .Build();

            // 弹出交互式登录窗口获取令牌
            var authResult = await publicClient.AcquireTokenInteractive(requiredScopes)
                .ExecuteAsync();

            // 实例化GraphServiceClient，注入令牌
            var graphClient = new GraphServiceClient(
                new DelegateAuthenticationProvider(request =>
                {
                    request.Headers.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue(
                        "Bearer", authResult.AccessToken);
                    return Task.CompletedTask;
                }));

            // 示例：读取用户的共享日历列表
            try
            {
                var sharedCalendars = await graphClient.Me.Calendars
                    .Request()
                    .Select(c => new { c.Name, c.Owner })
                    .GetAsync();

                Console.WriteLine("用户有权访问的共享日历：");
                foreach (var calendar in sharedCalendars)
                {
                    Console.WriteLine($"- {calendar.Name}（所有者：{calendar.Owner.Name}）");
                }
            }
            catch (ServiceException ex)
            {
                Console.WriteLine($"Graph API调用失败：{ex.Message}");
            }
        }
    }
}

注意事项 #

1. 委托模式下不需要使用客户端密钥——客户端密钥是应用权限（Application Permissions）模式下的认证凭证，委托模式依赖用户登录授权，只需要客户端ID和租户ID。
2. 需在Azure AD应用注册中，确保已添加User.Read和Calendars.ReadWriteShared这两个委托权限，并完成管理员同意（如果是组织内应用）或让用户自行授权（个人/多租户应用）。
3. 如果是Web应用，需改用ConfidentialClientApplication，并通过AcquireTokenByAuthorizationCode或AcquireTokenSilent方式获取令牌，核心Scope指定逻辑不变。

内容的提问来源于stack exchange，提问作者user20405467