C#应用通过PnP Framework连接启用MFA的SharePoint报401未授权错误

问题根源 #

你当前使用的GetACSAppOnlyContext是基于旧的ACS（Access Control Service）认证方式，微软已逐步淘汰该方案，且在启用MFA的现代SharePoint租户中，ACS认证通常会被限制，导致401未授权错误。正确的做法是使用Azure AD应用注册的应用权限认证方式。

解决步骤 #

1. 配置Azure AD应用注册 #

• 登录Azure门户，进入Azure Active Directory -> 应用注册，点击新建注册完成应用创建。
• 在应用的证书和密码页面，创建新的客户端密码（即你的clientSecret），记录密码值（仅显示一次）。
• 在API权限页面，点击添加权限 -> 选择SharePoint -> 选择应用权限，添加所需权限（如Sites.Read.All、Sites.FullControl.All等），然后点击授予管理员同意（必须完成此步骤，否则权限不生效）。
• 记录应用的客户端ID（clientId）和租户ID（可在应用的概述页面找到）。

2. 修改PnP Framework认证代码 #

替换原ACS认证代码为Azure AD应用权限认证，示例代码如下：

using PnP.Framework;
using System.Security;

string siteUrl = "https://ca.sharepoint.com/";
string clientId = "你的Azure AD应用客户端ID";
string clientSecret = "你的Azure AD应用客户端密码";
string tenantId = "你的租户ID（如xxx.onmicrosoft.com）";

// 将客户端密码转换为SecureString
SecureString secureSecret = new SecureString();
foreach (char c in clientSecret)
{
    secureSecret.AppendChar(c);
}

// 使用Azure AD应用权限认证创建上下文
using (var context = new AuthenticationManager().GetAzureADAppOnlyAuthenticatedContext(
    siteUrl, clientId, secureSecret, tenantId))
{
    context.Load(context.Web, web => web.Title);
    context.ExecuteQuery();
    Console.WriteLine($"站点标题：{context.Web.Title}");
}

3. 排查常见错误点 #

• 确认clientSecret未过期，且记录的密码值正确（创建时需及时保存，后续无法查看）。
• 确保已对添加的SharePoint应用权限授予管理员同意，未授权的权限会导致401错误。
• 检查应用权限范围是否匹配你的需求：如果仅需访问特定站点，可选择Sites.Selected权限并关联目标站点；如果是全局访问，选择Sites.Read.All等全局权限。
• 确认租户ID填写正确，不填租户ID可能导致认证请求无法定向到正确的租户。

内容的提问来源于stack exchange，提问作者nnmmss