Glosario
Permiso delegado frente a permiso de aplicación
Un permiso delegado permite a una aplicación actuar en nombre del usuario autenticado, limitada por exactamente lo que ese usuario ya puede hacer. Un permiso de aplicación (app-only) le permite actuar como ella misma, sin usuario de por medio y limitada solo por el scope concedido.
Es la distinción que más importa en una revisión de seguridad y sobre la que menos claros son los proveedores. Con permisos delegados, un empleado que no puede abrir una lista tampoco la ve a través del componente. Con permisos de aplicación, ese límite no existe.
Los paquetes de SharePoint Framework piden permisos delegados por la página de acceso a API. Si un proveedor te pide consentir algo en el portal de Entra en su lugar, eso es una concesión distinta y más amplia, y merece una pregunta.