.NET 8 Azure Function调用SharePoint REST API遇401未授权问题求助

场景说明 #

我们有一个定时运行的Azure Function，已启用托管身份，且成功集成Azure SQL数据库与Azure Key Vault。现需集成SharePoint Online实现指定站点的读写操作，已执行以下权限授予脚本：

1. 为托管身份分配Sites.Selected应用权限 #

# This script requires the modules Microsoft.Graph.Authentication, Microsoft.Graph.Applications, Microsoft.Graph.Identity.SignIns, which can be installed with the cmdlet Install-Module below:
# Install-Module Microsoft.Graph.Authentication, Microsoft.Graph.Applications, Microsoft.Graph.Identity.SignIns -Scope CurrentUser -Repository PSGallery -Force
Connect-MgGraph -Scope "Application.Read.All", "AppRoleAssignment.ReadWrite.All"
$managedIdentityObjectId = "d3e8dc41-94f2-4b0f-82ff-ed03c363f0f8" # 'Object (principal) ID' of the managed identity
$scopeName = "Sites.Selected"
$resourceAppPrincipalObj = Get-MgServicePrincipal -Filter "displayName eq 'Office 365 SharePoint Online'" # SPO
$targetAppPrincipalAppRole = $resourceAppPrincipalObj.AppRoles | ? Value -eq $scopeName

$appRoleAssignment = @{
    "principalId" = $managedIdentityObjectId
    "resourceId"  = $resourceAppPrincipalObj.Id
    "appRoleId"   = $targetAppPrincipalAppRole.Id
}
New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentityObjectId -BodyParameter $appRoleAssignment | Format-List

2. 为托管身份授予SharePoint站点权限 #

Connect-PnPOnline -Url "https://YOUR_SHAREPOINT_TENANT_PREFIX.sharepoint.com/sites/YOUR_SHAREPOINT_SITE_NAME" -Interactive -ClientId "YOUR_PNP_APP_CLIENT_ID"
Grant-PnPAzureADAppSitePermission -AppId "3150363e-afbe-421f-9785-9d5404c5ae34" -DisplayName "YOUR_FUNC_APP_NAME" -Permissions Manage

Azure Function代码采用双认证逻辑：本地开发环境使用InteractiveBrowserCredential，Azure托管环境使用DefaultAzureCredential（托管身份）。但本地运行时调用SharePoint REST API出现错误：

Response status code does not indicate success: 401 (Unauthorized).

相关核心代码如下：

TokenCredential credential;

if (Environment.GetEnvironmentVariable("AZURE_FUNCTIONS_ENVIRONMENT") == "Development")
{
    credential = new InteractiveBrowserCredential(); // or AzureCliCredential
}
else
{
    credential = new DefaultAzureCredential(); // Managed Identity
}

try
{
    var token = await credential.GetTokenAsync(new TokenRequestContext(new[] { "https://*****.sharepoint.com/.default" }),CancellationToken.None);

    var httpClient = new HttpClient();
    httpClient.DefaultRequestHeaders.Authorization =
        new AuthenticationHeaderValue("Bearer", token.Token);
    httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

    var siteUrl = "https://***.sharepoint.com/sites/analytics";
    var listId = "6***a6";
    string sinceDate = DateTime.UtcNow.AddDays(-7).ToString("yyyy-MM-ddTHH:mm:ssZ");

    string baseUrl = $"{siteUrl}/_api/web/lists(guid'{listId}')/items";
    string fullUrl = $"{baseUrl}?$top=100&$filter=Modified ge datetime'{sinceDate}'";

    // 后续请求解析逻辑...
}
catch (Exception ex)
{
    // 异常处理逻辑...
}

未授权错误的原因及解决方法 #

1. 本地身份未获站点访问权限 #

你为托管身份配置了Sites.Selected应用权限和站点Manage权限，但本地开发时InteractiveBrowserCredential使用的是你个人登录的Azure AD账号，这个账号可能未被添加到目标SharePoint站点的权限列表中，或权限级别不足。

• 解决：直接在SharePoint目标站点的网站权限中添加你的个人账号，授予至少「读取」权限（需写入则授予「编辑」或「管理」权限）。

2. Token请求Scope类型不匹配 #

你请求的Scope是https://*****.sharepoint.com/.default，这个后缀仅适用于应用权限流（如托管身份、ClientSecretCredential），而InteractiveBrowserCredential属于用户委托权限流，不能使用.default后缀。

• 解决：本地开发时将Scope改为对应的委托权限，例如https://*****.sharepoint.com/AllSites.Read或https://*****.sharepoint.com/Sites.ReadWrite.All；同时确保你的Azure AD应用（若使用注册应用）已添加对应委托权限并完成管理员同意。

3. PnP权限授予对象与本地身份不匹配 #

Grant-PnPAzureADAppSitePermission是给托管身份授予站点权限，但本地运行时使用的是个人用户身份，该权限对个人用户无效。

• 解决：若要使用个人身份访问，直接给用户添加站点权限；若要使用Azure AD应用的委托权限，需注册单独的Azure AD应用，添加委托权限并同意，然后在初始化InteractiveBrowserCredential时指定该应用的ClientId：

  credential = new InteractiveBrowserCredential(new InteractiveBrowserCredentialOptions
  {
      ClientId = "你的Azure AD应用ClientId",
      TenantId = "你的租户ID"
  });
  

4. Token受众（Audience）不匹配 #

获取的Token的aud字段需与SharePoint站点的URL一致，否则SPO会拒绝请求。

• 解决：用jwt.ms解析获取到的Token，查看aud字段是否为https://*****.sharepoint.com，若不符则调整Scope确保受众正确。

5. InteractiveBrowserCredential未指定租户ID #

若你的Azure AD租户是特定租户，InteractiveBrowserCredential可能默认登录到公共租户，导致Token不属于你的SPO租户。

• 解决：初始化时指定租户ID：

  credential = new InteractiveBrowserCredential(new InteractiveBrowserCredentialOptions
  {
      TenantId = "你的租户ID"
  });
  

内容的提问来源于stack exchange，提问作者microsoftdeveloperdesigner