部署在Azure Web App的Python SSO Bot在Teams标签页部分用户报错

问题背景 #

我开发了一款基于Python的SSO单点登录Bot，部署在Azure Web App上，当前遇到如下现象：

• 浏览器环境：所有功能（含SSO验证）正常运行
• 我的Teams客户端标签页：Bot运行正常，身份验证完成
• 部分同事的Teams客户端标签页：打开时提示“Sorry, we cannot contact the application”

技术栈：

• 开发语言：Python
• 托管平台：Azure Web App
• 认证方式：Microsoft Teams SSO
• 集成方式：Teams标签页指向Web App URL

已确认的配置：

• 应用已通过Teams开发门户正确添加至Teams
• 涉事用户均使用企业账户登录Teams
• Web App启用HTTPS并配备有效证书
• 域名已加入Teams应用清单的validDomains
• 所有用户同属一个Azure AD租户
• Azure Web App无IP限制或访问拦截

排查与解决步骤 #

1. 清除Teams客户端缓存 #

让受影响的同事执行以下操作：

• 完全退出Teams客户端（包括后台运行进程）
• 清除本地缓存：
  • Windows：删除%appdata%\Microsoft\Teams目录下所有文件
  • Mac：删除~/Library/Application Support/Microsoft/Teams目录下所有文件
• 重启Teams并重新加载应用

2. 验证SSO权限与用户分配 #

• 检查Azure AD应用注册的用户分配列表：确认受影响用户已被添加到应用的授权用户范围内
• 核对权限同意状态：如果应用使用了需要管理员同意的权限，确认租户管理员是否完成全局同意，部分用户可能因权限未授权导致加载失败

3. 核对Teams应用清单细节 #

• 重新校验validDomains配置：确保包含Web App的完整域名（如xxx.azurewebsites.net），避免拼写错误或遗漏子域名
• 检查webApplicationInfo节点：确认id（Azure AD应用注册ID）和resource（应用URI）配置完全正确，这两项错误会直接中断SSO流程，引发页面加载失败

4. 排查网络与区域延迟问题 #

• 确认受影响用户的地理位置：若用户所在区域与Azure Web App部署区域距离过远，可能因网络超时导致加载失败
• 测试Teams网页版：让用户尝试通过浏览器打开Teams并访问应用，判断是否为桌面客户端特定的网络问题

5. 分析应用日志定位错误 #

• 开启Azure Web App详细日志：在Azure门户中启用应用服务日志，查看受影响用户访问时的HTTP状态码、身份验证请求异常等信息
• 在Python应用中添加SSO流程日志：捕获OAuth2授权过程中的token获取、用户信息解析等环节的异常，定位具体失败节点

内容的提问来源于stack exchange，提问作者sadzag