Azure Web应用如何同时使用委派与应用程序权限实现MS Graph上传

1. 需单独创建应用权限对应的GraphClient实例 #

必须单独创建专属实例，你之前使用的GraphClient是基于用户委派上下文初始化的，调用时携带的是登录用户的身份令牌。而应用权限模式下是用应用自身身份请求Graph接口，认证流完全不同，不能复用原有的用户上下文GraphClient。

2. 应用权限访问被拒绝的核心原因 #

你之前配置的Sites.ReadWrite.All、Files.ReadWrite.All属于全局范围的应用权限，默认会被绝大多数企业租户的安全策略限制，禁止应用访问全租户所有SharePoint站点资源，所以即使管理员同意了权限也会返回403。你找到的参考资料中提到的「给目标站点集合分配WRITE权限角色」就是使用更安全的站点级限定权限Sites.Selected的方案。

3. Sites.Selected权限配置说明与操作步骤 #

3.1 权限含义 #

Sites.Selected是微软专为应用访问SharePoint提供的最小权限方案，无需给应用开放全租户站点的访问权限，仅给你需要上传文件的指定站点集合分配对应权限（读取/写入/管理等），既符合安全要求，也不会触发租户的全局权限限制。

3.2 操作步骤 #

• 步骤1：调整Azure应用注册的API权限
  删除原有配置的Sites.ReadWrite.All、Files.ReadWrite.All应用权限，新增Sites.Selected应用权限，提交后由租户管理员点击「授予管理员同意」。
• 步骤2：为目标站点分配应用的写入权限
  两种常用操作方式二选一即可：

  方式A：使用Graph API配置

  1. 先获取目标站点ID，调用Graph接口（需使用全局管理员/SharePoint管理员身份调用）：
     GET https://graph.microsoft.com/v1.0/sites/{租户域名}.sharepoint.com:/sites/{站点路径}
     从返回结果中获取id字段值作为后续调用的站点ID。
  2. 调用权限分配接口：

     POST https://graph.microsoft.com/v1.0/sites/{目标站点ID}/permissions
     Content-Type: application/json
     {
       "roles": ["write"],
       "grantedToIdentities": [{
         "application": {
           "id": "你的Azure应用客户端ID",
           "displayName": "你的Azure应用名称"
         }
       }]
     }
     

  方式B：使用PnP PowerShell配置

  1. 安装PnP PowerShell模块：
     Install-Module -Name PnP.PowerShell
  2. 连接到目标SharePoint站点（使用全局管理员/SharePoint管理员身份登录）：
     Connect-PnPOnline -Url https://{租户域名}.sharepoint.com/sites/{站点路径} -Interactive
  3. 分配写入权限：
     Grant-PnPAzureADAppSitePermission -AppId "你的Azure应用客户端ID" -DisplayName "你的Azure应用名称" -Permissions Write
• 步骤3：初始化应用权限专用的GraphClient
  使用客户端凭证流初始化独立的GraphClient实例，示例代码如下：

  using Azure.Identity;
  using Microsoft.Graph;
  
  // 应用权限的GraphClient配置
  var scopes = new[] { "https://graph.microsoft.com/.default" };
  var tenantId = "你的Azure租户ID";
  var clientId = "你的Azure应用客户端ID";
  var clientSecret = "你在应用注册中生成的客户端密钥";
  
  var credential = new ClientSecretCredential(tenantId, clientId, clientSecret);
  // 此为应用权限专用的GraphClient，不要和用户委派的GraphClient混用
  var appGraphClient = new GraphServiceClient(credential, scopes);
  

配置完成后使用上述appGraphClient调用文件上传接口即可正常访问。

内容的提问来源于stack exchange，提问作者dot