通过OAuth2+EWS访问Office365邮件时，如何限制应用仅能访问指定单个邮箱？

我来帮你解决这个权限限制的问题，你的核心问题出在使用的full_access_as_app权限上——这是租户级别的全访问权限，优先级远高于单个邮箱的权限设置，所以哪怕你给特定邮箱加了权限，应用依然能访问所有邮箱。下面是具体的解决步骤：

第一步：移除租户级全访问权限 #

登录Azure Portal，找到你的应用注册，进入「API权限」页面：

• 找到并删除full_access_as_app权限
• 点击「授予管理员同意」（如果之前已经同意过，需要重新确认权限变更）

第二步：添加精细化的Application权限（按需选择） #

如果你的应用只需要读取邮件，添加Exchange的Application权限：

• 在「API权限」页面点击「添加权限」，选择「Exchange」
• 选择「Application权限」，勾选Mail.Read（如果需要修改邮件则选Mail.ReadWrite）
• 再次点击「授予管理员同意」完成权限配置

第三步：创建应用访问策略限制范围 #

这一步需要用Exchange Online PowerShell来配置，具体操作：

1. 连接到Exchange Online PowerShell：

Connect-ExchangeOnline

2. 运行命令创建限制策略，指定应用只能访问目标邮箱：

New-ApplicationAccessPolicy -AppId <你的应用Client ID> -PolicyScopeGroupId genericMailbox@mydomain.com -AccessRight RestrictAccess -Description "限制应用仅能访问genericMailbox邮箱"

3. 验证策略是否生效：

Get-ApplicationAccessPolicy -AppId <你的应用Client ID>

第四步：确认单个邮箱权限（可选但推荐） #

你之前运行的Add-MailboxPermission命令是有效的，确保应用拥有目标邮箱的访问权限：

Add-MailboxPermission -Identity "genericMailbox@mydomain.com" -User "<你的应用Object ID>" -AccessRights FullAccess

测试验证 #

现在修改你的代码，把mailboxUser换成其他邮箱（比如ceo@mydomain.com），此时应用应该会返回访问被拒绝的错误；只有使用genericMailbox@mydomain.com时才能正常读取邮件，这样就实现了权限限制。

备注：内容来源于stack exchange，提问作者Gotcha