Microsoft Graph来宾用户搜索SharePoint报未授权错误

这个报错和你给应用配置的委托权限没有关系，是Microsoft Graph搜索服务的默认租户配置限制：

• 即便来宾用户获取的令牌已经包含Sites.ReadWrite.All、Files.ReadWrite.All所有要求的权限范围，默认也无法调用/v1.0/search/query接口检索SharePoint内容，这是服务层面的默认访问规则，不是代码写错或者权限漏配导致的。
• 你提到的经典SharePoint REST搜索接口不受这个默认规则约束，所以来宾用户调用老接口可以正常返回结果。

按落地成本从低到高排序：

方案1：调整租户搜索配置（优先推荐，无代码改动） #

这是最直接的解决方式，操作步骤：

1. 使用全局管理员或者SharePoint管理员账号登录SharePoint管理中心
2. 依次进入「搜索」-「更多搜索设置」，找到「来宾用户搜索访问」相关配置项
3. 开启允许来宾用户执行搜索查询的开关，保存配置
4. 等待15-30分钟让配置全局生效，之后来宾用户就可以正常调用Graph搜索接口

提示：开启这个配置不会导致权限越权，来宾用户仍然只能搜索到自己本身被授权访问的SharePoint内容，权限校验逻辑和内部用户完全一致。

方案2：切换为应用权限模式（适合无用户交互的后台服务场景） #

如果你的业务是后端服务自动调用、不需要保留用户交互式登录上下文，可以把权限模式从委托权限换成应用权限：

1. 在Azure AD应用注册页面，给应用授予对应的应用权限（按需选择Sites.Read.All/Sites.ReadWrite.All、Files.Read.All/Files.ReadWrite.All）
2. 完成管理员同意流程后，使用客户端凭据流获取应用级令牌调用搜索接口
3. 调用时建议在查询语句里限定目标站点范围，避免不必要的全租户扫描，请求示例如下：

{
  "requests": [
    {
      "entityTypes": ["listItem"],
      "query": {
        "queryString": "{你的搜索关键词} path:\"https://你的租户域名.sharepoint.com/sites/目标站点路径\""
      },
      "size": 100,
      "fields": ["name", "author", "title", "webUrl", "size", "id"]
    }
  ]
}

注意：应用权限模式下接口不会自动做用户级权限裁剪，你需要在业务代码里自行校验当前来宾用户对返回内容的访问权限，避免出现数据泄露。

方案3：兼容过渡方案 #

如果暂时没法调整租户配置，也不适合用应用权限，可以先在代码里加分支逻辑做兼容：

• 识别到当前调用方是内部用户时，继续走Graph的/search/query端点
• 识别到当前调用方是B2B来宾用户时，暂时回退调用经典SharePoint REST搜索接口
  等后续租户配置调整完成后，再统一把所有流量切到Graph接口即可，不会影响现有业务正常运行。

如果调整配置后还是报同样的错误，可以先做两个基础校验：

• 解码来宾用户获取的访问令牌，确认tid（租户ID）字段的值和你SharePoint所属的租户ID一致，没有拿到其他租户的有效令牌
• 确认来宾账号在目标SharePoint站点/文档库至少被授予了读取权限，没有被站点级的访问策略拦截

内容的提问来源于stack exchange，提问作者David Mason