如何通过OAuth2授予对sharepoint网站上的读/写文件的访问权限

Question

我很难弄清楚如何让应用程序对Sharepoint站点进行读/写访问。

以下是我所做的：

1. 我创建了一个sharepoint网站
2. 我创建了一个microsoft azure应用程序，并使用OAuth2对用户进行了身份验证
3. 我在应用程序控制面板上设置了包括文件的委派权限。读写。全部
4. 我创建了一个对sharepoint网站具有读/写权限的用户，并用应用程序对其进行了身份验证
5. 我有一个程序（在PHP中）具有有效的access\u令牌和refresh\u令牌，但当我尝试上载文件时，我得到了403错误

Client error: `PUT https://graph.microsoft.com/v1.0/drives/b!XxxxxxxxxxxxxxxxB/items/root:/StationMD%20Addl%20Enrollees%2020200508.xlsx:/content` resulted in a `403 Forbidden` response:
{
  "error": {
    "code": "accessDenied",
    "message": "Access denied",
    "innerError": {

奇怪的是，我能够以创建网站的用户的身份做到这一点，但不是作为一个虚拟用户（也有读写文件的权限）

所以...

问题似乎是应用程序权限。是否有方法仅为该sharepoint网站或Is文件设置应用程序权限。读写。我唯一的选择？我可以为当前未登录但通过OAuth2进行身份验证的用户使用委派权限吗？

更多信息5/16/20

我有两个用户。一个是我用来创建Sharepoint站点的常规帐户。另一个是用于上传文件的“服务号”。两个用户都可以使用GUI编辑/上传/删除文件。但是，当使用API时，服务用户不能上传文件，而普通用户可以。我确保两个用户都是网站的成员。使用图形资源管理器，我可以看到驱动器。

https://graph.microsoft.com/v1.0/drives/b!XXXXxxxxx
{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#drives/$entity",
    "createdDateTime": "2020-04-26T11:19:17Z",
    "description": "",
    "id": "b!XXXXXxxxxx",
    "lastModifiedDateTime": "2020-05-16T11:56:23Z",
    "name": "Documents",
    "webUrl": "https://xxxxxxx.sharepoint.com/sites/sftp/Shared%20Documents",
    "driveType": "documentLibrary",
    "createdBy": {
        "user": {
            "displayName": "System Account"
        }
    },
    "owner": {
        "group": {
            "email": "[e-mail]",
            "id": "xxxxx-xx-xxxx-xxxx-xxxxxxxx",
            "displayName": "sftp Owners"
        }
    },
    "quota": {
        "deleted": 2812850,
        "remaining": 27487773843447,
        "state": "normal",
        "total": 27487790694400,
        "used": 8848121
    }
}

Answer 1

据我所知：

不能限制到应用程序中的特定站点权限级别（如果需要，在逻辑上进行限制）。

如果要跳过用户登录，请使用应用程序权限。

如果要使用Graph api，请使用Microsoft Graph中的权限访问SharePoint中的数据。

Answer 2

我已经很久没有使用SharePoint了，但我会尝试回答与Azure AD相关的问题。

奇怪的是，我能够以创建网站的用户的身份做到这一点，但不是作为一个虚拟用户（也有读写文件的权限）

这很奇怪。我希望调用可以使用应用程序具有的权限：\

是否有方法仅为该sharepoint网站或Is文件设置应用程序权限。读写。我唯一的选择？

这个我不确定。您可以向应用程序授予委托权限文件。读写。所有这些都允许您访问/修改用户可以访问的任何文件，或者您可以授予应用程序权限文件。读写。所有这些都允许应用程序访问/修改任何网站集中的任何文件。

我可以为当前未登录但通过OAuth2进行身份验证的用户使用委派权限吗？

简单回答，是的。如果他们至少对你的应用程序进行了一次身份验证，那么当他们进行身份验证时，你会得到该用户的刷新令牌。安全地存储该刷新令牌，并在需要时使用它来获取新的访问令牌。注意以下几点：

• 刷新令牌本身将在一段时间后过期（也许2周？）
  • 当您使用该刷新令牌获得新令牌时，您也会获得一个新的刷新令牌
  • 用户必须再次验证才能提供新的刷新令牌