MS Teams Bot登录异常：认证成功却提示‘无法连接应用’错误

问题描述 #

使用Node.js + Microsoft Bot Framework开发Teams Bot，通过OAuthPrompt展示登录卡片时，登录流程能正常完成并返回有效token，但登录卡片会弹出错误提示：“Unable to reach app. Please try again.”。该问题仅出现在Teams客户端（桌面/浏览器端），Bot模拟器和Azure Bot网页聊天测试均正常，浏览器端Teams应用的网络面板显示502 Bad Gateway错误。

已完成配置 #

• 完成Azure AD应用注册
• 配置Azure AD的Authentication、Certificates & secrets、API permissions
• 配置Azure Bot的OAuth Connection Settings，测试连接成功并返回token
• 通过Teams Developer Portal完成应用基础配置、机器人功能、SSO及域名设置

排查解决思路 #

1. 检查Bot服务的公网可达性 #

Teams客户端对Bot服务的网络要求更严格，需确认：

• Bot服务部署的公网域名已完成Teams域名验证（在Developer Portal的Domains页面确认状态为已验证）
• Bot服务的端口（默认443）未被防火墙/安全组拦截，且使用有效的SSL证书（禁止自签证书）
• 从公网环境访问Bot的/api/messages端点，确保返回200 OK（可通过curl或Postman测试）

2. 验证OAuth回调URL配置 #

• 确认Azure AD应用注册的Redirect URI包含https://token.botframework.com/.auth/web/redirect，且类型设置为“Web”
• 核对Azure Bot的OAuth Connection Settings中回调URL与Azure AD配置是否一致（Bot Framework通常自动处理，但手动配置时需校验）

3. 排查502 Bad Gateway错误根源 #

502通常是Bot服务无法正确响应Teams回调请求，建议：

• 查看Bot服务日志，重点检查登录完成后处理TokenResponse请求的代码逻辑，排查是否存在未捕获异常导致服务崩溃或超时
• 确认Bot服务的响应超时设置，Teams对请求响应的超时限制较严格，需确保处理逻辑在15秒内完成
• 若使用Azure App Service部署Bot，开启Always On选项，避免服务因闲置被回收

4. 检查Teams应用的SSO配置 #

• 在Developer Portal的SSO设置中，确认Application ID URI与Azure AD应用注册的一致
• 验证SSO权限范围（Scopes）配置正确，且已获取管理员同意（租户级应用需此步骤）
• 确保Teams应用包manifest.json中，webApplicationInfo字段的id和resource与Azure AD应用信息匹配

5. 测试OAuth完整链路 #

• 用浏览器开发者工具捕获Teams客户端的登录回调请求，确认请求URL、参数是否正确，以及Bot服务的响应状态
• 清除Teams客户端缓存，重新安装应用后再次测试

内容的提问来源于stack exchange，提问作者Kaja Sherief