使用User.ReadWrite.All权限PATCH mobilePhone时出现授权问题

我之前也碰到过一模一样的问题——明明握着User.ReadWrite.All的应用权限，改postalCode这类普通属性毫无障碍，一碰mobilePhone就弹出授权拒绝的错误。其实核心问题出在Azure AD对敏感用户属性的额外保护机制上，哪怕你有全量读写权限，默认情况下应用也会被限制修改这类属性。

下面是我亲测有效的排查和解决步骤：

1. 先确认权限类型是否正确 #

首先得拍板：你给应用的User.ReadWrite.All必须是应用权限，而不是委托权限。因为Client Credential Flow（App-Only）只认应用权限，委托权限在这个认证模式下完全不生效。

• 登录Azure AD门户，找到你的应用注册
• 进入「API权限」页面，确认User.ReadWrite.All的类型标注是「应用权限」，并且旁边显示「已授予管理员同意」

2. 调整租户的敏感属性修改权限配置 #

Azure AD默认会把mobilePhone、email、streetAddress这类属性划为敏感范畴，限制应用修改。你需要手动把你的应用加入允许列表：

1. 登录Azure AD门户，进入「Azure Active Directory」>「用户」>「用户设置」
2. 找到并点击「管理用户功能权限」
3. 在「应用可以修改的敏感属性」板块，点击「配置」
4. 找到mobilePhone这一项，把你的应用添加到允许修改的应用列表里
5. 保存配置后，等个三五分钟让设置生效

3. 额外排查小细节 #

如果上面两步还没解决问题，可以再检查这几点：

• 条件访问策略：有没有针对你的应用设置过限制Graph API修改操作的条件访问策略？可以临时禁用相关策略测试下
• 权限生效延迟：有时候管理员同意权限后会有延迟，或者可以尝试撤销权限再重新授予一次
• 请求格式正确性：虽然错误是授权类的，但也可以确认下PATCH请求的JSON格式是否合规，比如：

  {
    "mobilePhone": "+1234567890"
  }
  

按这个流程操作后，你的应用应该就能正常修改mobilePhone属性了。

内容的提问来源于stack exchange，提问作者Chris Johnson