Microsoft Graph API中calendar.readWrite权限范围限制相关问题咨询

除限制访问特定邮箱/安全组外的可选方案 #

• 细粒度应用访问策略配置：在Exchange Online中通过New-ApplicationAccessPolicy命令配置自定义策略，除了限定可访问的邮箱范围外，还可以通过规则匹配限制应用可调用的接口路径，直接屏蔽日历附件相关的接口请求，规则生效后微软服务端会直接拒绝该应用发起的所有附件访问请求，无需修改应用原有权限配置。
• 请求参数强制限制：应用侧调用日历接口时强制添加$select查询参数，仅显式声明需要获取的非敏感日历字段（如日程时间、标题、地点），主动排除附件、日程正文等敏感字段，即使权限允许也不会获取到敏感内容。自研应用可在内部请求封装层做强制校验，禁止未携带指定$select参数的请求发出。
• Azure AD API调用限制：在Azure AD应用注册的权限配置中，添加自定义API访问规则，拦截该应用向Graph API发起的所有路径包含/attachments的请求，配置后此类请求会直接被Azure AD返回403错误，无法到达Graph服务层。

特定HTTP请求拦截实现方式 #

• 网关层拦截：如果应用所有Graph请求都经过自建统一网关转发，可以在网关层配置路由规则，匹配所有包含/calendar/events/*/attachments路径的请求，直接返回拒绝响应，无需透传至Graph服务端。
• 应用层拦截：封装应用内部统一的Graph请求工具类，在工具类中添加路径校验逻辑，只要检测到请求路径涉及附件相关接口，直接抛出异常拦截请求，避免敏感访问行为发生。

内容的提问来源于stack exchange，提问作者GJW