图形API 403禁止-令牌中需要存在scp或角色声明

Question

我的应用程序在调用Sharepoint /sites/root时失败，并显示403: Forbidden消息。我的授权流程遵循以下步骤。

为了得到一个代币，我首先打电话到https://login.microsoftonline.com/common/adminconsent?client_id=XXX

这允许我使用管理员登录并发现tenant_id。如果接受，调用将返回查询参数 admin_consent = TRUE 和tenant_id。

然后，我用它进行第二次POST呼叫https://login.microsoftonline.com/｛tenant_id｝/oauth2/v2.0/令牌，请求中包含以下主体：client_id=XXX

注意:范围设置为默认(https://graph.microsoft.com/。默认)。我请求网站。ReadWrite.All是我注册应用程序时的一个应用程序权限，仅此而已。

答复是：

'token_type': 'Bearer',
'expires_in': 3599,
'ext_expires_in': 3599,
'access_token': 'eyJ0...' (deliberately masked)

然后，我尝试在带有/sites/rootendpoint的应用程序中使用它，并收到错误“scp或roles声明需要出现在令牌中”。当我使用https://jwt.io/#encoded-jwt，我看不到“roles”参数可见。

在Azure应用中，我可以看到应用程序确实被成功授予管理员访问权限，那么为什么我的令牌没有正确返回？我错过了什么？当然，通过用户 /adminconsent作为第一次API调用，我也不需要在Azure门户中手动授权？

编辑:大约50分钟后进行第二次API调用以获得新令牌，因为第一个令牌即将到期，这似乎行得通，我在解码的令牌中重新获得了“角色”。是graph api上的错误导致了这个问题吗？

"roles": [
    "Sites.ReadWrite.All"
],

Answer 1

图形api上是否存在导致此问题的错误？

这不是一个错误，你所做的一切都是正确的，只是一个简单的延迟问题，当你请求令牌时，权限没有生效。