Azure应用注册修改Microsoft Graph权限未生效 如何强制用户重新同意

该现象是Azure AD权限模型的默认逻辑，不属于配置同步故障：

• 应用注册中配置的Microsoft Graph委托权限，仅为应用侧声明的「所需权限清单」，不会自动修改已经存在的权限授予记录。
• 用户首次完成权限同意后，Azure AD会将对应的授权记录持久化保存在企业应用（服务主体）的权限配置下，后续常规登录流程不会主动校验权限清单变化、触发重新同意，因此新增权限不会自动弹出同意页，删除清单中的权限也不会自动撤销已经授予的授权。

1. 授权请求追加prompt=consent参数（开发侧最快生效） #

构造OAuth2.0登录授权请求时，在请求参数中追加prompt=consent，即可强制每次跳转登录时展示当前配置的全部权限同意页，不受历史授权记录影响。
如果新增权限包含需要管理员同意的权限，将参数替换为prompt=admin_consent，由租户管理员完成全租户范围的授权后，普通用户无需再单独同意。
典型的v2.0端点授权请求示例：

https://login.microsoftonline.com/<你的租户ID>/oauth2/v2.0/authorize?
client_id=<应用客户端ID>
&response_type=code
&redirect_uri=<配置的回调地址>
&response_mode=query
&scope=openid profile User.Read User.ReadBasic.All
&prompt=consent

待所有目标用户完成新的同意流程后，即可移除该参数，恢复常规登录逻辑。

2. 手动清理历史授权记录（运维/测试场景无需改代码） #

如果是测试环境验证、或暂时无法修改代码，可以直接在Azure Portal删除存量的旧授权记录，用户下次登录时会自动触发新的同意流程：

• 进入Azure Active Directory面板，选择「企业应用程序」，搜索找到你的应用对应的服务主体（注意不要在「应用注册」blade操作，企业应用下的条目才是对应租户内实际生效的服务实体）
• 左侧导航选择「权限」，点击「查看授予的权限」，删除所有不符合当前权限清单的存量租户级、用户级授权记录
• 如果仅需测试单个账号，可进入「用户和组」菜单，找到对应用户，单独删除该账号下的个人授权记录即可

3. 增量同意（长期迭代的规范方案） #

如果应用后续会持续迭代权限需求，建议使用微软身份认证库（MSAL）提供的增量同意能力，在调用需要新增权限的接口前，单独发起仅针对缺失权限的同意请求，无需每次触发全量权限同意，减少对用户的干扰。

内容的提问来源于stack exchange，提问作者ca8msm