Office365-REST-Python-Client多因素认证下SharePoint访问问题咨询

解决方案 #

针对技术问询的解答 #

1. 能否触发MFA验证提示并获取令牌？
   可以，但无法通过普通POST请求直接触发。需要使用Azure AD的设备代码流（Device Code Flow），这是专为无交互界面的应用设计的验证方式：程序会生成一个设备码和验证URL，用户在手机/浏览器打开URL输入代码，完成MFA验证后，程序就能获取到访问令牌。

2. 无管理员权限下能否通过用户凭证获取令牌？
   可以，但不能再用原有的用户名密码直接认证。设备代码流不需要管理员权限，仅需用户自身的账号权限即可完成验证，且令牌可以本地缓存复用，过期后只需重新触发一次验证流程。

Python代码修改方案（使用设备代码流） #

修改原有的认证逻辑，替换为设备代码流：

from office365.runtime.auth.device_code_provider import DeviceCodeProvider
from office365.sharepoint.client_context import ClientContext
import os
import logging

class MySharePoint(Helper):
    # ... 保留原有类变量和初始化方法 ...

    @client_context.setter
    def client_context(self, kwargs:dict) -> None:
        try:
            site_url = os.getenv("SHAREPOINT_SITE", kwargs['company_site'])
            # 使用设备代码流认证，使用微软官方公共客户端ID，无需管理员授权
            provider = DeviceCodeProvider(
                site_url,
                client_id="d3590ed6-52b3-4102-aeff-aad2292ab01c"
            )
            ctx = ClientContext(site_url).with_provider(provider)
            
            # 触发设备码验证流程，提示用户完成MFA
            print(provider.get_message())
            ctx.authenticate()
            
            self._client_context = ctx
            logging.info("\nSharePoint authentication successful.")
            
            # 可选：缓存令牌到本地文件，下次启动直接复用
            with open("token_cache.json", "w") as f:
                f.write(provider.token_cache.to_json())
                
        except Exception as e:
            logging.critical(f"\nSharePoint authentication failed:\n{e}\n")
            raise e

无Python环境的替代方案 #

如果无法安装Python，推荐两种无需额外安装的方案：

1. PowerShell脚本（Windows系统自带）

利用PowerShell的SharePoint Online模块实现认证与文件操作：

# 首次运行需安装模块，后续可跳过
Install-Module -Name Microsoft.Online.SharePoint.PowerShell -Force -AllowClobber

# 连接到SharePoint Online，自动触发MFA验证
Connect-SPOService -Url https://your-company.sharepoint.com/sites/TeamSite

# 示例：下载目标文件夹中的最新文件
$folder = Get-SPOFolder -SiteRelativeUrl "Docs/TargetFolder"
$latestFile = $folder.Files | Sort-Object TimeCreated -Descending | Select-Object -First 1
Get-SPOFile -Url $latestFile.ServerRelativeUrl -Path "C:\LocalPath\$($latestFile.Name)" -AsFile

2. Microsoft Power Automate（无代码方案）

通过可视化配置实现文件自动分发：

• 创建定时触发器（如每日执行）
• 添加「获取文件夹中的文件」动作，筛选最新文件
• 添加「发送邮件」或「复制文件到指定位置」动作
• 配置时触发一次MFA验证，后续流程自动运行，无需人工干预

内容的提问来源于stack exchange，提问作者Konstantin Schuckmann