调用Graph API发Teams频道消息报Protected API访问错误如何解决？

这个报错的核心原因是：使用无用户参与的应用凭证模式调用Teams消息发送接口时，没有启用资源特定同意（RSC）权限的情况下，该接口属于微软受限的受保护API，仅在Azure门户授予常规权限无法调用，需要额外配置。

下面是两种可行的解决路径，根据你的业务场景选择即可：

方案一：使用资源特定同意（RSC，无需微软审核，推荐） #

该方案适用于仅需要给指定少数团队/频道发消息的场景，不用提交申请，配置后立即可用：

• 打开Azure门户中你的应用注册页，进入「清单」编辑界面，在requiredResourceAccess节点下添加RSC权限声明，频道发消息对应权限为ChannelMessage.Send，群组聊天发消息对应权限为ChatMessage.Send，权限类型设置为Application。
• 将配置好权限的应用手动安装到你需要发送消息的目标Teams团队/群组中，安装完成后权限会自动对该目标生效，无需全局管理员授权。
• 调用接口获取access_token时，scope固定填https://graph.microsoft.com/.default即可正常调用。

方案二：申请受保护API全局访问权限 #

如果你的业务需要给租户内所有团队/频道发消息，不适合逐个安装应用，可以走微软审核流程开通全局权限：

• 先在Azure应用注册的「API权限」页添加你需要的应用权限（如ChannelMessage.Send、Teamwork.Migrate.All等），并由全局管理员点击「授予管理员同意」完成授权。
• 填写微软官方的受保护API访问申请表，提交你的业务场景说明、数据使用合规承诺、调用频率等信息等待审核。
• 审核通常3-5个工作日完成，通过后你就可以正常调用接口发送消息。

常见问题排查 #

• 确认你获取access_token用的是客户端凭证流，不能用授权码流等带用户身份的授权模式。
• 可以解析你拿到的access_token，检查roles字段中是否包含你申请的对应权限，避免权限未生效的问题。
• 若使用RSC方案，确认应用已经正确安装到目标团队/群组，没有被管理员移除权限。

内容的提问来源于stack exchange，提问作者Betini O. Heleno