Teams应用开发疑问：未分配User.Invite.All权限的用户仍可邀请来宾？

嘿，我来帮你梳理下可能导致这个问题的几个关键点，咱们一步步来排查：

1. 权限类型搞混了——应用权限 vs 委派权限 #

首先得明确User.Invite.All有两种权限类型：应用权限和委派权限。如果你的应用注册里添加的是应用权限，那这个权限是直接赋予应用本身的，不管哪个用户使用这个应用调用Graph API，都会以应用身份执行操作，完全不受用户自身权限的限制。这就会导致哪怕你没给用户分配权限，他们照样能发起来宾邀请。

正确的做法应该是添加委派权限的User.Invite.All，然后给需要执行邀请操作的特定用户单独授予这个权限，同时确保管理员同意的时候，不是直接“允许所有用户使用该权限”，而是仅让被分配权限的用户能调用接口。

2. 应用调用Graph的身份逻辑错误 #

如果你的应用用的是**客户端凭证流（Client Credential Flow）**调用Graph API，那全程都是以应用自己的身份在操作，和当前登录的用户身份无关。这种情况下，用户有没有权限根本不影响，只要应用本身持有Invite权限就能完成调用。

你得改成用授权码流（Authorization Code Flow），这样调用Graph时会带上当前用户的身份令牌，Azure AD才会校验这个用户是否真的拥有User.Invite.All权限。

3. 租户/团队的全局来宾邀请设置没做限制 #

别忽略了Azure AD和Teams本身的来宾邀请配置！如果你的租户在「外部协作设置」里开启了“允许所有用户邀请外部来宾”，或者目标团队的设置里允许所有者/成员直接邀请来宾，那即使你的应用权限做了限制，用户可能通过其他路径完成邀请——不过你说的是应用调用的情况，这条可以作为辅助排查点。

4. 应用内缺失权限校验逻辑 #

就算你在Azure AD里配置了权限分配，如果你的应用本身没在调用Graph之前检查用户权限，那等于白搭。比如用户打开应用后，你应该先调用Graph的/me/permissions接口，或者通过Azure AD的权限验证逻辑，确认当前用户确实拥有User.Invite.All权限，再允许他们执行邀请操作。

5. 权限分配的生效延迟 #

Azure AD的权限分配有时候不会立即生效，可能需要等待15-30分钟。你可以让未授权的用户完全退出Teams和你的应用，清除缓存后重新登录，再测试看看。

总结修复步骤： #

• 把应用注册里的User.Invite.All权限改成委派权限，并给需要的用户单独分配；
• 应用调用Graph时切换到授权码流，确保以用户身份发起请求；
• 在应用内添加权限校验逻辑，提前验证用户是否具备邀请权限；
• 检查租户和团队的来宾邀请全局设置，避免配置冲突；
• 等待权限生效后，重新测试未授权用户的操作。

内容的提问来源于stack exchange，提问作者Perumal Perumal