Google Apps Script集成Microsoft Graph API访问OneDrive时遭遇401权限错误

看起来你遇到的这个401权限问题确实挺闹心的——明明认证环节显示成功了，结果访问OneDrive文件时就被拦下来。我来帮你梳理下几个最可能的原因和对应的排查解决办法：

可能的原因及解决思路 #

1. OAuth授权时请求的权限范围（Scopes）不够 #

Microsoft Graph API对不同操作有明确的权限要求，如果你当初获取刷新令牌时，只请求了User.Read这类基础权限，那肯定没有访问文件的权限。你得确保授权流程里包含至少一个文件相关的权限：

• 访问当前用户自己的OneDrive文件：可以选Files.Read（只读）或Files.ReadWrite（读写）
• 访问组织内所有用户的文件（企业场景）：可能需要Files.Read.All或Files.ReadWrite.All
• 访问共享文件：可能还需要Sites.Read.All这类额外权限

检查你的OAuth2配置代码，确认setScope方法里包含了对应的权限字符串，比如：

oauth2Service.setScope('https://graph.microsoft.com/Files.Read https://graph.microsoft.com/User.Read');

2. Access Token的权限或受众不对 #

虽然刷新令牌能成功拿到Access Token，但这个Token可能并不具备文件访问权限，或者不是给Microsoft Graph用的。你可以对拿到的Access Token做JWT解码检查：

• 看scp字段：里面有没有你需要的文件权限（比如Files.Read）
• 看aud字段：是不是https://graph.microsoft.com，要是其他值就说明令牌的受众不对，没法用来访问Graph API

3. 目标文件本身有单独的权限限制 #

就算你的账号有OneDrive的全局权限，这个特定文件可能被设置了单独的权限锁：

• 先手动用授权的用户账号登录OneDrive网页版，试试打开目标文件，确认能正常访问
• 如果是共享文件，检查它的共享设置，确保授权用户在共享列表里
• 如果文件属于SharePoint站点或团队，可能还需要额外的站点访问权限

4. API请求的端点或请求头写错了 #

有时候权限错误其实是请求细节出了问题：

• 确认API端点是否正确：比如获取文件内容的正确端点是GET https://graph.microsoft.com/v1.0/me/drive/items/{item-id}/content，如果是共享文件得用/shares/{encoded-share-url}/driveItem/content
• 确认请求头里的Authorization格式对不对：必须是Bearer {你的Access Token}，注意Bearer后面有空格，别写错

快速排查步骤 #

1. 先手动验证文件访问是否正常，排除文件本身的权限问题
2. 解码Access Token，确认权限范围和受众正确
3. 检查OAuth授权时的Scope配置，确保包含文件相关权限
4. 核对API请求的端点和请求头，确保没有拼写错误

备注：内容来源于stack exchange，提问作者Slimane Latreche