如何利用SAML断言认证Microsoft.SharePoint.Client.ClientContext获取令牌

错误原因 #

你遇到的AADSTS50107错误，核心是请求的联邦领域（realm）参数不正确。你使用的https://sts.windows.net/9387c2d2-c4ca-4cd0-8963-33034cd92c6c/是Azure AD旧版STS端点，并非SharePoint的资源标识，AAD无法找到对应的联邦对象。

正确的SAML断言换Token流程 #

要复用用户的SAML断言获取SharePoint的访问令牌，需调整Token请求参数并修改ClientContext的认证方式：

1. 调整Token请求参数 #

向https://login.microsoftonline.com/<你的租户ID>/oauth2/v2.0/token发送POST请求，参数需包含：

• grant_type: urn:ietf:params:oauth:grant-type:saml1_1-bearer（若为SAML 2.0则用urn:ietf:params:oauth:grant-type:saml2-bearer）
• assertion: 对SAML响应中的<saml:Assertion>节点内容进行Base64编码（注意不是整个SAML响应文档）
• realm: 设置为你的SharePoint站点根URL（如https://contoso.sharepoint.com）或租户的SharePoint资源ID
• client_id: 你的应用在Azure Entra ID中注册的Client ID
• client_secret（可选）: 机密客户端需提供，公共客户端可省略

2. 用Access Token认证ClientContext #

获取到access_token后，无需再使用SharePointOnlineCredentials，直接通过Bearer Token认证ClientContext：

// 假设已获取到有效的accessToken
this.Context = new ClientContext(configuration.Url)
{
    AuthenticationMode = ClientAuthenticationMode.Default,
    FormDigestHandlingEnabled = false
};

// 添加Authorization请求头
this.Context.ExecutingWebRequest += (sender, args) =>
{
    args.WebRequestExecutor.RequestHeaders["Authorization"] = $"Bearer {accessToken}";
};

关键注意事项 #

• SAML断言受众匹配: 确保原SAML断言的<saml:Audience>包含SharePoint的资源标识，否则AAD会拒绝交换请求
• 权限配置: 在Azure Entra ID应用注册中，添加对SharePoint Online的委托权限（如Sites.ReadWrite.All），按需完成管理员同意
• 用户身份一致性: SAML断言必须属于当前操作的用户，且未过期，否则无法获取有效令牌

内容的提问来源于stack exchange，提问作者Anubrij Chandra