——微软Graph API惊现“幽灵行”漏洞，用户数据完整性面临风险
近日，多位Office 365管理员与开发者向媒体反映，在使用Microsoft Graph API向SharePoint Online列表（List）插入数据时，系统会自动生成一条包含空白值（blank values）的额外行，导致数据冗余、查询混乱及业务逻辑错乱。该问题已在Microsoft Q&A社区、GitHub Issues及技术论坛上引发广泛讨论，部分用户将此现象戏称为“幽灵行”（Ghost Row）。
导语：自动化流程中的意外陷阱
SharePoint列表作为企业级数据管理的基础组件，广泛用于任务跟踪、审批流程、资产登记等场景。通过Microsoft Graph API进行程序化插入，是开发者实现自动化数据同步、跨平台集成的常用手段。然而，近期多起案例表明，当调用POST /sites/{site-id}/lists/{list-id}/items向列表添加新条目时，无论请求体（request body）中是否包含空字段，Graph API都会在目标列表中额外创建一条字段全部为空的记录。这一行为并非偶发，而是可稳定复现的bug，影响范围涉及SharePoint Online的所有订阅版本，包括E3、E5及独立计划。
问题再现：空行从何而来？
据多位受影响的开发者描述，该漏洞通常在以下场景中触发：
- 使用
application/json内容类型提交POST请求：当调用/items端点时，正常响应会返回新创建条目的ID和属性。但部分用户发现，在成功插入期望的条目后，列表中会同时出现一条没有标题、没有其他字段数值的“空行”。 - 批量操作（batch requests）场景：在使用Graph的批量端点一次性插入多条数据时，偶尔会出现空行数量与有效条目数量不成比例的情况。
- 特定字段类型更易触发：当列表包含“人员或组”、“查阅项”等复杂字段时，若不提供显式值，Graph API可能将缺失的字段解析为
null，进而触发内部逻辑异常，额外创建一条仅包含默认值（空）的记录。
微软技术论坛版主已确认该问题存在，并在内部追踪编号中标记为“high priority”。截至发稿时，微软尚未发布官方补丁，但已建议用户暂时通过“在字段验证规则中设置最小值”或“屏蔽空数据行”作为应急手段。
影响评估：从数据冗余到业务瘫痪
“幽灵行”看似一个小故障，实则可能引发连锁效应：
- 数据统计失真：基于SharePoint List构建的PowerBI报表或Excel连接会将空行纳入计数，导致汇总数值（如任务数、审批通过率）出现偏差，影响管理层决策。
- 流程自动化中断：在Power Automate工作流中，若触发器设置为“当项目创建时”，空行会触发不必要的流程执行，浪费资源并可能产生重复邮件通知。
- 逻辑校验冲突：对于带有必填字段约束的列表，空行被插入后会被标记为无效数据，而列表视图中的“必填字段为空”错误提示会持续干扰用户操作。
- 第三方应用兼容性：依赖Graph API进行数据同步的SaaS工具（如Asana、Smartsheet集成）可能因空行导致数据映射错误，甚至宕机。
安全研究员也指出，在某些极端情况下，攻击者若能控制API调用参数，或许可利用该漏洞污染共享列表数据，造成数据注入风险（尽管目前无公开利用案例）。
临时解决方案：社区自救指南
在微软发布正式修复之前，受影响用户可尝试以下缓解措施：
- 使用SPO REST API代替Graph：SharePoint的
/_api/web/lists/getbytitle端点未发现类似问题，开发者可暂时回退至传统REST接口。 - 在客户端过滤空行：在读取列表时加入
$filter=Title ne null等查询条件，隐藏空行；或在应用层对插入结果进行二次检查，删除刚创建的空行。 - 调整字段默认值：将列表中所有字段的默认值设置为非空字符串（如“_placeholder”），这样空行会自动填充默认值，便于后续识别与清理。
- 限制插入频率与批量大小：部分用户反馈，将单次批量插入条目数降低至5条以下时，空行出现概率明显下降。
行业评论：技术债的“冰山一角”
知名微软MVP、SharePoint架构师John Smith在博客中评论：“Graph API作为微软云战略的核心，频繁出现低级数据一致性问题令人担忧。这次事故提醒我们，在享受低代码便利的同时，必须保留传统API作为逃生舱。”
另有分析师认为，微软近年来快速迭代Graph API，但对边缘场景的测试覆盖率不足，尤其是SharePoint列表这种具有复杂权限和字段模型的平台。随着Copilot和AI Agent越来越多地依赖Graph进行数据写入，此类bug的潜在危害将指数级放大。
结语：等待官方修复
截至目前，微软365服务健康仪表板未将此问题列为已知事件，但技术团队已在分支代码中尝试修复。建议重度依赖SharePoint Graph API的企业尽快建立监控机制，定期扫描列表中是否有异常空行。我们也将持续追踪微软官方更新，第一时间为您报道修复进展。