在发送用户使用 Azure AD OAuth2 进行身份验证时，我们经常会遇到组织禁止用户同意共享其数据（请参阅https://docs.microsoft.com/en-us/azure/active-directory/manage-apps/manage-consent-requests#disable-all-future-user-consent-operations-to-any-application）。
我们想知道是否有一种方法可以在我们将用户发送到 Microsoft 登录之前进行查询，并向他们显示他们需要让管理员在他们可以登录之前执行租户范围内的同意的信息？
基本上我们可以确定以下是否配置为允许用户同意：
奖励：如何检查我们请求的权限是否在归类为“低影响”的“选定权限”中？
一些相关问题：
【问题讨论】：
标签： oauth azure-active-directory
您可以使用以下脚本检查“用户同意应用代表他们访问公司数据设置”是否设置为“是”。此外，当此设置设置为“是”时，“同意和权限”部分中的“允许用户同意应用程序（所有用户都可以同意任何应用程序访问组织数据）”设置也被设置。因此，您可以使用以下 powershell 脚本来检查是否设置了上述设置：-
注意： - 您需要 Azure AD 上的管理员权限和特权，您需要检查上述同意和权限。
‘ Install-Module AzureAD
$cred=Get-Credential
Connect-AzureAD -Credential $cred
Get-AzureADTenantDetail | fl UsersPermissionToUserConsentToAppEnabled ’
Output: - UsersPermissionToUserConsentToAppEnabled : True
此外，如果您需要为 Azure AD 中托管的特定应用请求上述内容，您可以通过 Microsoft Graph API 查询来完成，但在向 Graph API 进行身份验证时使用的用户 ID 应该具有读取权限 (User.Read.All ) 在您需要为其请求同意权限的 Azure AD 上，因为 Microsoft Graph 将是此处的资源标识符。
以下是供您参考的 Graph API 查询示例：-
‘ GET https://login.microsoftonline.com/common/oauth2/v2.0/authorize?
client_id=6731de76-14a6-49ae-97bc-6eba6914391e
&response_type=code
&redirect_uri=http%3A%2F%2Flocalhost%2Fmyapp%2F
&response_mode=query
&scope=
https%3A%2F%2Fgraph.microsoft.com%2Fcalendars.read%20
https%3A%2F%2Fgraph.microsoft.com%2Fmail.send
&state=12345 ’
一旦您在 Azure AD 中为您请求的应用程序同样运行上述查询，并且如果用户已同意该应用程序的上述权限，它将继续并通过授予所需权限（如 offline_access）来访问该应用程序，如果没有，它会发出一条错误消息。
【讨论】：