如何为Office365 API实现管理员同意和用户同意

Question

我正在尝试授权我的多租户saas Web应用程序与Office 365帐户通信。嗯，显然我的应用程序需要管理员同意，因为权限，所以我必须实现它。

但我也希望用户也同意，这样他就可以进入他的帐户并在管理员同意后单击“授权”。

我该如何实现？已经有一个授权流，但它只是授权每个用户（当时完全不知道管理员同意的想法）。当非管理员尝试授权其帐户时，他会收到错误“此操作只能由管理员执行”。当管理员完成此操作时，它会授权他们，而当管理员通过管理员同意时，它仍然只是授权他们。普通用户仍然会收到该错误。

这些是我的应用程序请求的权限：

< li >日历。阅读 < li >日历。读写 < li >联系人。读写 < li >邮件。读写 < li >邮件。发送 < li >任务。读写

这是我们为它存储的数据：

user_id
access_token
expires_on
resource
refresh_token
scope
id_token

我只基本熟悉oauth 2.0，这也没什么帮助。

几个星期以来，我一直在浏览文章、论坛问题、帮助指南和文档。救命啊。

更新：所以我想也许我需要在我的数据中添加一个is_admin标志？因此，当管理员同意时，我将上述所有字段与 is_admin = 一起保存

我暖和了吗？

登录网址：

https://login.microsoftonline.com/common/oauth2/authorize?
response_type=code
&client_id={my_client_id}
&redirect_uri=https%3A%2F%2Fapp.example.com%2Fintegrations%2Foffice-auth&state=V6diTW2TaHl1Zpawg1AFub7fWtKfGnyl1464023103
&resource=https%3A%2F%2Foutlook.office365.com%2F
&prompt=consent




Answer 1

修复了它。它是Azure中的应用程序权限（与委派权限相反）。它有“读取和写入所有邮箱”，以及其他一些基本上授予访问组织中所有用户的权限的邮箱。

去掉这个，用户授权就可以了，我甚至不需要管理员的同意。