自定义Teams个人选项卡SSO登录失效问题排查求助

一、先修复日志系统（排查基础） #

• 立即恢复日志功能，否则无法定位具体错误：
  • 改用成熟的日志框架（如Serilog），配置输出到文件或Azure Monitor，确保Trace/Error级别的日志被完整记录。
  • 重点记录以下内容：
    • Teams环境检测结果（UA字符串、上下文信息）
    • SSO获取token的请求/响应细节
    • Graph API调用的异常信息
    • Cookie认证的写入状态（是否成功、Cookie属性）

二、修正Teams环境检测逻辑 #

• 确认_LoginPartial中的环境判断是否适配新Teams客户端：
  • 新Teams的UA包含Teams/2.0，Classic客户端UA包含MicrosoftTeams，需同时匹配这两种标识，避免误判为浏览器环境。
  • 示例判断逻辑：

    var userAgent = Request.Headers["User-Agent"].ToString();
    var isTeamsDesktop = userAgent.Contains("MicrosoftTeams") || userAgent.Contains("Teams/2.0");
    var isTeamsWeb = userAgent.Contains("TeamsWeb/");
    

三、后端代码优化（针对你的现有实现） #

1. 减少不必要的Graph请求，避免流程中断 #

• 直接使用SSO token中的tid声明作为租户ID，无需调用graphClient.Organization：

  // 替换原有的tenantId获取逻辑
  string retrievedTenantId = retrievedToken.Claims.First(c => c.Type == "tid").Value;
  // 移除var org = await graphClient.Organization.Request().GetAsync();
  // 后续claim中的租户ID直接用retrievedTenantId
  claims.Add(new Claim("http://schemas.microsoft.com/identity/claims/tenantid", retrievedTenantId));
  

2. 修复Cookie认证兼容性问题 #

Teams桌面端基于Electron内核，对Cookie属性要求严格，需在认证配置中调整：

// 在Program.cs/Startup.cs中配置Cookie认证
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.SameSite = SameSiteMode.None;
        options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest; // 生产环境改为Always
        options.Cookie.HttpOnly = true;
        options.ExpireTimeSpan = TimeSpan.FromHours(8); // 匹配token有效期
    });

3. 实现MVC适配的Token缓存机制 #

针对多页应用，用分布式缓存（如Redis）或内存缓存存储token，避免重复SSO请求：

// 注入IDistributedCache到你的Controller
private readonly IDistributedCache _cache;

// 缓存Token方法
private async Task CacheTokenAsync(string userId, string tenantId, string accessToken, DateTimeOffset expiresAt)
{
    var cacheKey = $"TeamsSSO:{userId}:{tenantId}";
    var tokenCacheEntry = new
    {
        AccessToken = accessToken,
        ExpiresAt = expiresAt
    };
    await _cache.SetStringAsync(cacheKey, JsonSerializer.Serialize(tokenCacheEntry), new DistributedCacheEntryOptions
    {
        AbsoluteExpiration = expiresAt.AddMinutes(-5) // 提前5分钟过期，避免调用时token已失效
    });
}

// 读取缓存Token方法
private async Task<string> GetCachedTokenAsync(string userId, string tenantId)
{
    var cacheKey = $"TeamsSSO:{userId}:{tenantId}";
    var cacheValue = await _cache.GetStringAsync(cacheKey);
    if (string.IsNullOrEmpty(cacheValue)) return null;
    
    var tokenCacheEntry = JsonSerializer.Deserialize<dynamic>(cacheValue);
    if (DateTimeOffset.UtcNow >= tokenCacheEntry.ExpiresAt)
    {
        await _cache.RemoveAsync(cacheKey);
        return null;
    }
    return tokenCacheEntry.AccessToken;
}

• 使用时，先检查缓存，无有效token再触发SSO流程。

4. 完善异常处理 #

捕获Graph API及认证流程中的异常，避免静默失败：

try
{
    User me = await graphClient.Me.Request().GetAsync();
    // ... 构建Claims等逻辑
}
catch (ServiceException ex)
{
    _logger.LogError(ex, "Graph API调用失败: {ErrorCode} - {Message}", ex.Error.Code, ex.Error.Message);
    Response.StatusCode = (int)HttpStatusCode.BadRequest;
    return Json(new { error = "用户信息获取失败，请重试" });
}
catch (Exception ex)
{
    _logger.LogError(ex, "SSO认证流程异常");
    Response.StatusCode = (int)HttpStatusCode.InternalServerError;
    return Json(new { error = "认证失败，请联系管理员" });
}

四、新Teams客户端特殊适配 #

1. 前端Teams SDK调用优化 #

确保前端SDK初始化及SSO调用适配新Teams：

// 等待Teams SDK初始化完成后再执行SSO
microsoftTeams.initialize();
microsoftTeams.getContext(async (context) => {
    try {
        const accessToken = await microsoftTeams.authentication.getAuthToken({
            resources: ["https://graph.microsoft.com"]
        });
        // 发送token到后端接口
        const response = await fetch('/Account/TeamsSSOLogin', {
            method: 'POST',
            headers: { 'Content-Type': 'application/json' },
            body: JSON.stringify({ accessToken })
        });
        const result = await response.json();
        // 处理登录成功后的跳转
        window.location.href = '/Home/Index';
    } catch (error) {
        // SSO失败时触发OAuth fallback
        microsoftTeams.authentication.authenticate({
            url: `${window.location.origin}/Account/TeamsOAuthLogin`,
            width: 600,
            height: 530,
            successCallback: () => window.location.reload(),
            failureCallback: (err) => console.error("OAuth登录失败", err)
        });
    }
});

2. 检查Azure AD应用配置 #

• 确保应用注册的accessTokenAcceptedVersion设置为2（在"清单"中修改）。
• 确认已添加User.Read等必要的Graph权限，且权限已被租户管理员同意。

内容的提问来源于stack exchange，提问作者Clownish Carnage