Microsoft Teams相机直传图片至Bot返回403权限禁止问题

问题详情 #

我在Microsoft Teams里运行一个Bot应用，已配置允许接收文件：

• 附件形式上传图片：完全正常，文件会转发至我的SharePoint URL，可正常访问处理，请求示例：

  {...}
  

• 直接相机拍摄上传：返回403状态码及错误信息：

  {"error":{"code":"BotError","message":"Access Forbidden"}}
  

  相机直传的图片URL与附件上传的SharePoint URL存在差异。

我尝试用以下代码获取图片，但相机直传场景下请求失败：

using (HttpClient httpClient = new HttpClient())
{
    var token = await new MicrosoftAppCredentials("MYAPPID", "MYAPPSECRET").GetTokenAsync();
    httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);
    var responseMessage = await httpClient.GetAsync(url);
    var contentLenghtBytes = responseMessage.Content.Headers.ContentLength;
    if (responseMessage.StatusCode == System.Net.HttpStatusCode.OK)
    {
        Console.WriteLine("Done with status '" + responseMessage.StatusCode + "'");
    }
}

解决思路与方案 #

1. 修正权限范围 #

相机直传的图片存储在Teams临时媒体空间（而非SharePoint），MicrosoftAppCredentials获取的token权限可能未覆盖该存储的访问权限：

• 前往Azure AD应用注册页面，给Bot添加Files.Read.All（团队范围媒体访问）或ChannelMessage.Send权限，完成管理员同意流程。

2. 调整URL访问方式 #

相机直传的URL可能自带临时签名或验证参数，无需额外添加Bearer token：

• 直接使用消息附件中的contentUrl发起请求，该URL已包含临时访问权限参数；
• 若URL无自带权限，改用Graph API的GetAttachmentContent接口获取内容：

  var graphClient = new GraphServiceClient(new DelegateAuthenticationProvider(async (requestMessage) =>
  {
      var token = await new MicrosoftAppCredentials("MYAPPID", "MYAPPSECRET").GetTokenAsync();
      requestMessage.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
  }));
  
  var attachmentContent = await graphClient.Teams[teamId].Channels[channelId].Messages[messageId].Attachments[attachmentId].Content
      .Request()
      .GetAsync();
  

3. 检查Bot配置完整性 #

确保Bot的manifest.json中权限与域名配置正确：

"permissions": [
    "identity",
    "messageTeamMembers"
],
"validDomains": [
    "*.teams.microsoft.com",
    "*.microsoft.com"
]

4. 及时处理临时媒体 #

相机直传的图片属于临时存储资源，有效期较短，收到消息后需立即处理，避免URL过期导致的403错误。

内容的提问来源于stack exchange，提问作者harunB10