Microsoft Teams SSO认证中getAuthToken返回'resourceDisabled'及后续OAuth相关问题排查求助

咱们一步步拆解你遇到的这三个问题，逐个给出解决方案：

1. 初始错误：getAuthToken返回resourceDisabled #

这个错误主要和Teams应用配置、Azure AD应用注册的权限设置相关，结合你的manifest来看：

• 先确认webApplicationInfo的位置是正确的——它确实应该放在manifest的顶层，你的配置符合Teams schema要求，这部分没问题
• 重点检查Azure AD应用注册的两个核心点：
  • 确保webApplicationInfo里的resource值，和你在Azure AD中注册的API的标识符URI完全一致，不能有拼写、域名格式的错误
  • 为Teams对应的Azure AD应用注册，添加目标API的权限（比如你自定义API的scope），并且必须完成管理员同意（租户内应用至少需要管理员同意一次，权限才能生效）
• 你的permissions字段已经包含identity，这部分配置没问题

2. 调整代码后出现AADSTS7000215: Invalid client secret provided #

虽然你说确认client_secret正确，但这个错误的核心就是密钥不匹配，咱们再仔细排查：

• **绝对不要把client_secret写在前端代码里！**这是严重的安全漏洞，任何人都能通过浏览器开发者工具获取到你的密钥，OBO（代表用户）流程必须放在后端服务执行
• 确认你用的是client_secret的值，而非密钥ID：在Azure AD应用注册的「证书和密码」页面，创建客户端密码时会显示唯一的字符串，只有创建时能查看，之后只能看到密钥的名称/ID，你必须保存这个创建时的字符串，不能用列表里的ID代替
• 检查密钥是否过期：查看Azure AD中该密钥的过期时间，确认没有失效
• 核对client_id和client_secret是否属于同一个Azure AD应用注册，避免搞混测试/生产环境的应用信息

3. Postman正常但React axios出现CORS错误 #

这个问题的根源很明确：Azure AD的login.microsoftonline.com/token端点不允许前端直接发起跨域请求，而且前端直接调用会暴露client_secret，完全不符合安全规范。正确的解决思路是：

• 将OBO流程移到你的后端服务：前端只需要把getAuthToken获取到的token发送到自己的后端API，由后端发起POST请求到AAD的token端点
• 如果是本地临时测试，也绝对不能在前端写client_secret，你可以在后端搭建一个简单的代理接口，前端调用自己的代理接口，再由代理接口请求AAD的token端点
• 若非要在前端临时测试（强烈不推荐生产环境），可以在Azure AD应用注册的「CORS」页面添加你的前端域名，但这只是临时方案，生产环境必须用后端处理

补充：正确的前后端分离流程示例 #

1. 前端代码（仅获取Teams的token并传给后端）：

useEffect(() => {
  if (inTeams === true) {
    microsoftTeams.authentication.getAuthToken({
      successCallback: (result) => {
        // 将Teams token传给后端接口
        axios.post("/api/get-on-behalf-token", { teamsToken: result })
          .then(res => console.log(res.data))
          .catch(err => console.error(err));
        microsoftTeams.appInitialization.notifySuccess();
      },
      failureCallback: function (error) {
        console.log(error);
      },
    });
  } else {
    setEntityId("Not in Microsoft Teams");
  }
}, [inTeams]);

2. 后端代码（Node.js示例，处理OBO流程）：

const axios = require('axios');
const qs = require('querystring');

app.post('/api/get-on-behalf-token', async (req, res) => {
  const { teamsToken } = req.body;
  const formData = qs.stringify({
    client_id: "你的client_id",
    client_secret: "你的client_secret",
    requested_token_use: "on_behalf_of",
    grant_type: "urn:ietf:params:oauth:grant-type:jwt-bearer",
    scope: "api://你的域名/你的client_id/scope",
    assertion: teamsToken
  });

  try {
    const response = await axios.post(
      "https://login.microsoftonline.com/common/oauth2/v2.0/token",
      formData,
      { headers: { 'Content-Type': 'application/x-www-form-urlencoded' } }
    );
    res.send(response.data);
  } catch (err) {
    res.status(err.response.status).send(err.response.data);
  }
});

内容的提问来源于stack exchange，提问作者Wet_Pantz