调用Microsoft Graph API获取用户组信息时遭遇403错误

看起来你遇到的问题很典型——能成功读取用户基本信息，但获取组关联数据时触发403，核心原因几乎都是权限配置不匹配，下面分几个方向排查和解决：

1. 检查应用注册的权限配置 #

读取用户的memberOf需要专门的权限，和读取用户基本信息的权限是分开的：

• 如果是委托权限（代表用户调用API）：需要User.Read.All（读取所有用户的基本信息和组）或Directory.Read.All（读取目录内所有对象，包括组）；要是只想读取当前登录用户自己的组，User.Read就足够，但你这里是指定用户，所以需要更高权限。
• 如果是应用权限（后台服务调用，无需用户登录）：需要User.Read.All或Directory.Read.All的应用权限。

重点：添加权限后，必须点击授予管理员同意（针对租户级权限），否则权限不会生效。

2. 验证JWT令牌的权限范围 #

拿你使用的Bearer令牌，用JWT解码工具（比如本地的解码脚本或者离线工具）查看：

• 委托权限看scp字段，确认包含上述所需的权限值；
• 应用权限看roles字段，确保有对应的权限标识。
  如果令牌里没有所需权限，说明权限配置没生效，或者获取令牌时请求的权限范围不对。

3. 检查调用上下文的用户权限 #

如果是用委托权限调用，当前登录的用户可能没有读取目标用户组信息的权限：

• 普通用户默认只能读取自己的组信息；
• 要读取其他用户的组，需要当前用户拥有目录读取者或更高的管理员角色（比如全局管理员）。

4. 排查API端点和请求细节 #

虽然你之前获取用户信息成功，但还是确认下{user}参数是用户的object ID、userPrincipalName（比如user@domain.com）或者邮箱，格式没问题。另外，可以打印403响应的详细内容，这能帮你精准定位问题：

var errorContent = await memberOfResponse.Content.ReadAsStringAsync();
Console.WriteLine(errorContent);

补全后的测试代码参考：

private static async Task Test()
{
    using (var client = new HttpClient())
    {
        client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", "YOUR_VALID_TOKEN");
        var userIdentifier = "user@yourdomain.com"; // 替换为用户的Object ID或UPN

        // 验证用户存在
        var userResponse = await client.GetAsync($"https://graph.microsoft.com/v1.0/users/{userIdentifier}");
        if (userResponse.IsSuccessStatusCode)
        {
            Console.WriteLine("用户信息获取成功");
        }
        else
        {
            Console.WriteLine($"获取用户信息失败：{userResponse.StatusCode}");
            return;
        }

        // 获取用户组信息
        var memberOfResponse = await client.GetAsync($"https://graph.microsoft.com/v1.0/users/{userIdentifier}/memberOf");
        if (memberOfResponse.IsSuccessStatusCode)
        {
            var groupContent = await memberOfResponse.Content.ReadAsStringAsync();
            Console.WriteLine("用户所属组信息：\n" + groupContent);
        }
        else
        {
            var errorDetails = await memberOfResponse.Content.ReadAsStringAsync();
            Console.WriteLine($"获取组信息失败：{memberOfResponse.StatusCode}\n错误详情：{errorDetails}");
        }
    }
}

内容的提问来源于stack exchange，提问作者user584018