仅拥有profile权限时，能否通过MS Graph获取用户配置文件照片？

• 你对profile权限的理解存在偏差：OIDC的profile属于身份验证范围，仅用于获取用户基础身份信息（如姓名、用户ID、邮箱前缀等），不包含访问用户配置文件照片的权限。MS Graph的API权限和OIDC身份范围是两个独立体系，不能混为一谈。

• 不存在仅依赖profile权限就能获取用户照片的MS Graph端点：官方明确规定，调用me/photo或users/{identifier}/photo端点获取工作/学校账户的照片，最低需要User.Read委派权限（或User.Read.All应用权限）。

• 解决思路：如果你的应用只请求了profile范围，没有申请User.Read权限，调用照片端点肯定会返回403错误。需要在应用的权限配置里添加User.Read委派权限，再引导用户重新完成授权流程。

内容的提问来源于stack exchange，提问作者Ghojzilla