如何突破Azure AD应用的权限请求限制？支持数千微软账号用户

1. 调整应用登录受众 #

把Azure AD应用注册的登录受众（signInAudience）改成任何组织目录中的账户和个人Microsoft账户（对应值AzureADandPersonalMicrosoftAccount）。操作路径：Azure门户→应用注册→目标应用→身份验证→支持的账户类型，选择对应选项后保存。这样你的应用就能同时接收企业账号和个人Microsoft账号（如outlook.com、live.com）的登录请求。

2. 理清权限请求限制的本质 #

你提到的400权限请求数限制，仅针对管理员批量同意操作（比如租户管理员一次性同意应用的多个权限），和用户数量完全无关——这个限制不会影响你支持数千个人账号用户登录。个人用户登录时，是单独同意自身所需权限，不受400数量限制。

3. 合理配置权限策略 #

• 优先使用委托权限：个人账号场景下，应用以登录用户的身份操作SharePoint，委托权限完全匹配这个场景（应用权限是后台服务用的，个人账号场景几乎用不到）。
• 按需申请权限：只请求业务必需的权限，比如仅需读取列表就用Sites.Read.All，不要申请Sites.FullControl.All这类高权限，减少权限总数。
• 拆分权限请求：如果确实需要大量权限，不要一次性发起管理员批量同意，要么分多次申请，要么开启增量同意——让用户在使用到对应功能时再同意权限，既合规又提升体验。

4. 验证权限对个人账号的兼容性 #

在应用注册的「API权限」页面，检查每个添加的权限是否标注了「支持的账户类型」包含个人账号。部分SharePoint权限不支持个人账号，需要替换为等效的支持权限。

5. 优化登录与权限流程 #

• 开启增量同意：在Azure应用注册的「身份验证」页面，勾选「允许增量同意」，用户首次登录仅需同意基础权限，后续用到新功能时再按需同意对应权限。
• 使用MSAL库处理登录：Microsoft身份验证库（MSAL）会自动适配个人账号的登录、权限同意流程，无需额外复杂配置，确保登录体验稳定。

6. 支撑大用户量的注意点 #

用户数量不受400权限限制的影响，Azure AD本身支持超大规模用户访问。需要关注的是Microsoft Graph的API调用配额——在Azure门户应用注册的「API权限」→「配额」中查看当前限额，若不足可申请提升。同时确保你的后端架构能支撑并发用户的请求处理。

内容的提问来源于stack exchange，提问作者Neiy Briceño