创建Microsoft Graph API日历事件订阅是否需特定权限？

你遇到的403 Forbidden错误核心原因是权限范围不满足订阅API的要求——虽然你持有Calendars.ReadWrite.Shared权限可以正常读写共享日历的事件，但创建订阅需要额外的权限支撑，另外也可以检查下资源路径的细节，下面分点说明：

1. 补充必要的权限范围 #

创建日历事件的订阅（包括共享日历场景）需要以下至少一个权限：

• Calendars.Read（适用于只读场景的订阅）
• Calendars.ReadWrite（适用于读写场景的订阅）

你当前的权限列表里只有Calendars.ReadWrite.Shared，这个权限仅允许操作共享日历的内容，但不包含创建订阅的权限。需要在你的OAuth授权流程中添加上述权限之一，重新获取令牌后再尝试创建订阅。

2. 资源路径的注意事项 #

你尝试的几种资源路径都是可行的，但需要确保：

• 使用me/calendars/{sharedCalendarId}/events时，令牌对应的用户确实是该共享日历的合法访问者（也就是你通过OAuth授权的当前用户）
• 使用users/{userPrincipalName}/calendars/{sharedCalendarId}/events时，{userPrincipalName}必须是共享日历所有者的用户主体名称（UPN），或者你自己的UPN（如果你是通过共享权限访问该日历的话）

3. 其他可能的排查点 #

• 确认expirationDateTime设置在当前时间的4230分钟（70.5小时）以内，Graph订阅的过期时间有严格上限，测试时要注意设置正确的未来时间
• 检查clientState长度是否不超过128字符，你的示例里是符合要求的，但实际使用时要确保没有超出限制

测试示例请求 #

调整权限后，可以用以下请求体再次尝试（注意替换占位符）：

{
  "changeType": "created,updated",
  "notificationUrl": "https://{domain-with-valid-https-certs}/calendar/microsoft/notifications",
  "resource": "me/calendars/{sharedCalendarId}/events",
  "clientState": "your-client-state-here",
  "expirationDateTime": "2024-05-23T21:02:45.487Z"
}

内容的提问来源于stack exchange，提问作者Leighton Wallace