如何测试多租户Teams应用？基于Teams Toolkit的SaaS应用测试咨询

一、先搞定多租户环境配置 #

• 把应用改成多租户模式：登录Azure AD门户，找到你的应用注册，将账户类型设置为「任何组织目录中的账户」（如果要支持个人微软账号可选对应选项，SaaS场景一般选组织账户即可）。
• 准备测试租户：要么通过微软开发者计划申请额外的测试租户，要么找其他租户的管理员要测试账号（对方需要配合做一些权限配置）。

二、权限功能测试 #

• 跨租户权限请求验证：用其他租户的普通用户尝试安装应用，看是否弹出正确的权限请求弹窗，检查请求的权限范围（比如User.Read、Mail.Read）和你预期的一致。
• 管理员同意流程测试：用目标租户的全局管理员账号，访问管理员同意链接（格式：https://login.microsoftonline.com/common/adminconsent?client_id={你的应用ID}&redirect_uri={你的重定向URI}），同意后去租户的企业应用列表里确认应用已存在，权限配置正确。
• 权限边界测试：在不同租户创建不同权限等级的用户（普通用户、部门管理员等），测试他们能访问的应用功能是否和权限匹配，比如低权限用户调用高权限Graph API时是否返回403错误。

三、SSO（单点登录）测试 #

• 跨租户登录验证：用其他租户的用户直接访问应用的SSO入口，检查是否自动跳转到对应租户的登录页，登录后是否无需二次验证就能进入应用。
• 令牌有效性检查：登录成功后，打开浏览器开发者工具的「Application」标签，找到存储的ID Token和Access Token，用本地JWT解析工具解析，确认iss是对应租户的Azure AD地址，aud是你的应用ID，roles/scp声明包含正确权限。
• 跨租户会话隔离测试：在一个租户登录后，切换到另一个租户的账号，测试是否能正常登出并重新登录，两个租户的会话不会互相干扰。

四、访问令牌获取测试 #

• 授权码流跨租户验证：模拟授权码流，在其他租户环境下获取授权码，然后调用令牌端点https://login.microsoftonline.com/{租户ID}/oauth2/v2.0/token（或用common端点）获取Access Token，验证令牌是否有效，能否正常调用目标API（比如Microsoft Graph）。
• 静默刷新测试：等令牌过期后，测试应用是否能自动静默刷新获取新令牌，无需用户再次登录，且跨租户环境下刷新逻辑正常。
• 权限范围校验：用权限不足的令牌调用API，检查是否返回正确的403错误，确保权限控制逻辑生效。

五、其他多租户场景测试 #

• 安装/卸载流程：在多个租户测试应用的安装（从Teams商店或直接部署）、卸载，确认卸载后租户里不会残留应用权限或数据。
• 租户级配置：如果应用支持租户级配置，测试不同租户的管理员能否独立配置参数，且配置不会影响其他租户。

内容的提问来源于stack exchange，提问作者Senkwe