使用Microsoft Graph与Sites.Selected权限的文件搜索限制问题

我配置了一个拥有Sites.Selected应用权限的Azure Entra ID应用，通过以下CLI命令为其授予指定SharePoint站点的FullControl权限：

Grant-PnPAzureADAppSitePermission 
  -AppId "{clientId}" 
  -DisplayName "{name}" 
  -Permissions FullControl 
  -Site "{siteUrl}"

应用以应用-only模式通过Client Credentials流运行，目前可成功列出并遍历该站点内的所有文件夹和文件，但调用POST /search/query接口搜索该站点或其驱动器中的文档时，始终返回401 Unauthorized错误。临时授予Files.Read.All应用权限后，搜索请求可正常工作，但出于安全考虑，必须限制应用仅使用Sites.Selected权限，不能使用租户级访问权限。

Graph API的POST /search/query接口目前不支持通过Sites.Selected权限进行授权访问。该接口的权限校验逻辑依赖租户级的搜索相关权限（如Files.Read.All、Sites.Read.All），即使应用拥有单个站点的FullControl权限，也无法通过该接口的权限校验，因此返回401错误。

1. 使用SharePoint站点级REST搜索接口 #

可以直接调用SharePoint站点的REST搜索端点/_api/search/query，这个端点支持基于站点级权限的访问，应用拥有站点FullControl权限即可正常调用。

示例请求 #

POST https://{siteUrl}/_api/search/query
Content-Type: application/json

{
  "querytext": "搜索关键词",
  "sourceid": "b09a7990-05ea-4af9-81ef-edfab16c4e31" // 文档库默认源ID，可根据需求调整
}

在.NET应用中，可通过以下方式实现：

• 使用HttpClient直接发送请求（需携带应用-only模式的访问令牌）
• 使用PnP Core SDK，调用site.Search.QueryAsync()方法，该SDK已封装站点级搜索逻辑，无需手动处理REST请求细节

2. 本地遍历过滤（小体量站点适用） #

如果站点内文件数量不多，可以在遍历站点文件夹和文件的过程中，自行实现搜索逻辑：

• 过滤文件名包含搜索关键词的文件
• 若需搜索文件内容，可读取文件文本内容后进行关键词匹配

这种方式无需额外调用搜索接口，但性能较低，仅适合小体量站点场景。

内容的提问来源于stack exchange，提问作者Kamil Smoleń-Błażejowski