调用MS Graph获取群组线程及回复时访客用户返回403错误问询

问题根因 #

• Microsoft Graph 对群组对话线程的读、写权限是独立拆分设计的。当前权限配置仅给访客用户开放了发布回复的写权限，未开放读取线程及关联帖子的读权限，尤其是$expand=posts扩展参数会触发额外的帖子内容权限校验，直接返回403。
• Azure AD 群组的访客用户默认读取权限受限，和成员用户的默认权限范围不一致，成员用户默认拥有群组对话内容的读取权限，访客则需要额外配置。
• 当前使用的/beta版本接口属于预览版，权限校验逻辑比v1.0正式版更严格，存在额外的权限校验规则未适配访客身份。

解决方案 #

• 调整Azure AD应用权限：在应用注册配置中，新增GroupConversation.Read.All权限（委托权限/应用权限根据调用场景选择），并完成管理员全局同意，确保访客身份调用时拥有对应读权限。
• 修改接口调用方式：拆分扩展查询为两次独立调用，先调用https://graph.microsoft.com/beta/groups/<<groupid>>/threads/<<threadId>>获取线程基础信息，再调用https://graph.microsoft.com/beta/groups/<<groupid>>/threads/<<threadId>>/posts获取帖子列表，拆分后可绕过$expand参数的严格权限校验。
• 调整群组访客权限配置：进入对应Microsoft 365群组的设置页面，开启「允许访客读取群组对话内容」的开关，该开关默认关闭，开启后访客即可正常读取线程和帖子内容。
• 切换到v1.0正式版接口：将接口地址替换为正式版https://graph.microsoft.com/v1.0/groups/<<groupid>>/threads/<<threadId>>?$expand=posts，可避免预览版接口不稳定的权限校验问题。

内容的提问来源于stack exchange，提问作者chanakya sankritayana