更新Teams消息发送代码遇困境：委派授权无法适配服务端认证场景

核心问题澄清 #

你误以为应用权限无法发送Teams消息是个误区——实际上应用权限完全适配服务端无交互场景，只是你可能没选对正确的API和权限配置。

正确的应用权限实现方案 #

• 选对API端点：放弃依赖用户上下文的委派类API，改用支持应用权限的接口：
  • 发送频道消息：/teams/{team-id}/channels/{channel-id}/messages
  • 发送一对一聊天消息：/users/{user-id}/chat/messages
• 配置应用权限：在Azure AD应用注册中添加对应应用权限，并要求管理员授予同意：
  • 频道消息：ChannelMessage.Send（应用权限）
  • 聊天消息：ChatMessage.Send（应用权限）
• 获取无交互令牌：使用客户端凭证流（Client Credential Flow）获取令牌，全程无需用户参与，示例请求：

  POST /{tenant-id}/oauth2/v2.0/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=client_credentials
  &client_id={你的客户端ID}
  &client_secret={你的客户端密钥}
  &scope=https://graph.microsoft.com/.default
  

  用该令牌调用Graph API即可完成消息发送。

关于1年有效期令牌的风险 #

设置1年有效期令牌是极不推荐的：

• 安全风险极高：令牌一旦泄露，攻击者可在1年内持续滥用权限，无法快速止损。
• 违反微软安全规范：Azure AD默认应用令牌有效期为1小时，强制延长会违背安全最佳实践，甚至可能被平台限制。
• 维护成本高：长期令牌到期后需手动更新，无法像短有效期令牌那样自动刷新，增加服务端运维负担。

总结 #

优先采用客户端凭证流+应用权限的方案，这是服务端无交互场景下发送Teams消息的标准实现方式，既满足安全要求，又能自动维护令牌生命周期，完美替代已弃用的webhook方案。

内容的提问来源于stack exchange，提问作者Zack S