如何通过Microsoft Graph API判断日历委托custom角色对应的实际权限类型

问题根因 #

通过Outlook桌面客户端手动授予的Reviewer、Author、Editor三类日历委托权限，会基于Outlook默认配置调整细粒度权限项，与Microsoft Graph预定义的权限角色模板不完全匹配，因此调用https://graph.microsoft.com/v1.0/users/{userprincipalname/userguid}/calendar/calendarPermissions接口时，role字段会统一返回custom，无法直接通过该字段区分权限类型。

权限区分方案 #

不要依赖role字段做权限判断，通过接口返回的细粒度权限字段做匹配即可：

• 判断是否有写权限：检查返回结果的allowedActions数组，若包含Calendar.ReadWrite、Calendar.ReadWrite.Shared任意一项，即可判定该委托用户拥有日历写入权限
• 区分委托权限类型：
  • 仅包含Calendar.Read类权限，无任何写入类权限 → 对应Reviewer角色
  • 包含写入类权限，不含PrivateEvent.Read/PrivateEvent.ReadWrite私有事件权限 → 对应DelegateWithoutPrivateEventAccess角色
  • 包含写入类权限，同时包含私有事件读写权限 → 对应DelegateWithPrivateEventAccess角色

规避方案 #

如果希望接口直接返回标准role值而非custom，后续的日历委托权限配置直接通过Microsoft Graph的calendarPermissions接口完成即可，通过API授予的标准预定义角色不会出现返回custom的问题。

部分旧租户调用接口时allowedActions字段可能默认不返回，可在请求URL后加?$select=role,allowedActions,allowedRoles显式指定返回字段获取完整权限信息。

内容的提问来源于stack exchange，提问作者SUYASH MALIK