Exchange本地环境中如何用Office.js实现加载项内邮件附件删除？

场景概述 #

为Exchange本地环境开发Outlook加载项，目标是实现用户直接从加载项删除邮件附件，当前遇到以下限制：

• Office.context.mailbox.makeEWSRequestAsync不支持DeleteAttachment SOAP操作；
• 手动发起EWS DeleteAttachment请求需要身份验证令牌，但getCallbackTokenAsync返回的令牌无法用于直接fetch调用；
• 所用OWA仅支持Office.js ≤1.5，无法使用Microsoft Graph或高版本Office.js API。

问题解答 #

1. 获取有效令牌用于EWS DeleteAttachment请求 #

Exchange本地环境中，getCallbackTokenAsync返回的令牌只能用于makeEWSRequestAsync代理的EWS请求，无法直接用于自行发起的fetch——这是本地Exchange的安全策略，令牌权限被限定在加载项上下文内。
可行的替代方案：

• 集成身份验证传递：要求Exchange管理员配置EWS允许Kerberos/NTLM身份验证，且用户使用IE/Edge等支持Windows集成身份验证的浏览器，此时OWA会话会自动传递用户凭据到EWS请求（需确保域环境配置正确）；
• 后端服务代理：加载项将待删除的附件ID、邮件ID发送到自己的后端服务，后端使用拥有EWS权限的服务账户（需Exchange管理员授予权限）调用DeleteAttachment操作，这是本地环境最可靠的方案，完全绕开前端令牌限制。

2. 无有效令牌时的受支持删除方式 #

在Office.js 1.5的限制下，没有前端原生受支持的直接删除附件方法：

• makeEWSRequestAsync的支持操作列表中不包含DeleteAttachment；
• 高版本Office.js提供的mailbox.item.attachments.removeAsync需要Office.js 1.8+，你的OWA环境不兼容；
• Microsoft Graph仅适用于Exchange Online，本地环境无法使用。

3. 本地环境处理附件的变通方法与最佳实践 #

• 优先采用后端代理：这是最稳定的方案，前端仅做交互收集信息，后端负责EWS操作，避免前端身份验证问题；
• 引导用户原生操作：若开发资源有限，在加载项中添加清晰提示，引导用户通过Outlook原生界面删除附件；
• 后端预处理附件：如果业务允许，通过Exchange传输规则、邮箱服务器端脚本等方式，在邮件到达时自动处理（如删除违规附件），减少用户操作需求；
• 最小权限原则：使用后端服务时，确保服务账户仅被授予必要的EWS权限（如仅对目标邮箱的DeleteAttachment权限），避免过度授权带来的安全风险。

内容的提问来源于stack exchange，提问作者Vivek