调用Microsoft Graph的invite接口时返回403权限拒绝错误

我碰到过好几个开发者遇到一模一样的问题——在SharePoint UI里能正常给文件夹发邀请，但调用Graph API的POST /drives/{driveId}/items/{itemId}/invite接口就返回accessDenied的403错误。核心原因是Graph API和SharePoint UI的权限校验逻辑存在差异，尤其是针对Office 365 Group关联的站点场景，下面给你拆解解决思路：

一、先排查权限配置问题 #

这是最常见的诱因，分两种场景来看：

1. 用用户委派权限调用API #

SharePoint UI操作是基于当前用户的上下文，所以你得确保：

• 调用API的用户本身是该Office 365 Group的成员或所有者（至少要有文件夹的编辑权限）；
• 你请求的Graph API权限范围包含Files.ReadWrite.All或者Sites.ReadWrite.All（推荐用Sites.ReadWrite.All，对Group站点的覆盖更全面）。

2. 用应用权限调用API #

如果是后台服务用应用身份调用，情况会更复杂：

• 除了配置Files.ReadWrite.All或Sites.ReadWrite.All权限，还得给应用加上Group.ReadWrite.All权限，因为Office 365 Group的站点属于Group资源，应用需要有访问Group的权限；
• 部分租户会限制应用访问特定Group，你需要确认应用已经被授权访问目标Group（可以在Azure AD的Group设置里添加应用为成员/访客）。

二、对齐API调用的上下文 #

SharePoint UI是完全的用户上下文操作，如果你用应用权限调用API，很可能因为应用没有被纳入文件夹的权限列表而被拒绝。这种情况下，改用用户委派的上下文调用API（也就是模拟用户登录获取token），和UI操作的上下文保持一致，大概率能解决问题。

三、验证目标文件夹的权限设置 #

虽然UI能操作，但可以先确认一下目标文件夹的权限是否允许调用者执行邀请操作：
调用GET https://graph.microsoft.com/v1.0/drives/{driveId}/items/{itemId}/permissions接口，查看返回的权限列表，确保调用者（用户或应用）拥有write或fullControl级别的权限。

四、核对API请求参数 #

最后再检查下你的请求体参数是否正确，比如下面是一个标准的邀请请求示例，你可以对比下：

POST https://graph.microsoft.com/v1.0/drives/{driveId}/items/{itemId}/invite
Content-Type: application/json

{
  "recipients": [
    {
      "email": "user@example.com"
    }
  ],
  "message": "请访问这个共享文件夹",
  "requireSignIn": true,
  "sendInvitation": true,
  "roles": ["write"]
}

内容的提问来源于stack exchange，提问作者Jorgen Solberg