.NET Core控制台应用调用SharePoint CSOM报401及令牌不支持错误

问题描述 #

我正在创建一个.NET Core控制台应用，尝试访问Office 365 SharePoint站点，使用PnP Framework推荐的AuthenticationManager建立连接。已遵循MSDN《使用.NET Standard的CSOM实现现代身份验证》指南，但仍收到401 Unauthorized错误，服务器返回提示：

不支持应用仅令牌。

虽然能成功获取AccessToken并在请求中传递，但执行context.ExecuteQuery()时被服务器拒绝。

相关代码 #

var authManager = new AuthenticationManager(clientId, tenantId: tenantId);

using var context = authManager.GetAccessTokenContext(siteUrl.ToString(), _ =>
{
    var app = ConfidentialClientApplicationBuilder.Create(clientId)
        .WithClientSecret(appSecret)
        .WithTenantId(tenantId)
        .Build();

    var resource = $"{siteUrl.Scheme}://{siteUrl.Authority}";
    var scopes = new[] { $"{resource}/.default" };
    var authResult = app.AcquireTokenForClient(scopes).ExecuteAsync().Result;
    return authResult.AccessToken;
});

var web = context.Web;
context.Load(web, w => w.Title);
context.ExecuteQuery();

请求详情 #

POST https://mysite.sharepoint.com/sites/FileStructureSandbox/_vti_bin/client.svc/ProcessQuery HTTP/1.1
Host: mysite.sharepoint.com
Authorization: Bearer eyJ0eX...... [REDACTED for StackOverflow post]
Connection: Keep-Alive
Accept-Encoding: gzip, deflate
Content-Type: text/xml
Content-Length: 606

<?xml version="1.0" encoding="UTF-8"?>
<Request xmlns="http://schemas.microsoft.com/sharepoint/clientquery/2009" AddExpandoFieldTypeSuffix="true" SchemaVersion="15.0.0.0" LibraryVersion="16.0.0.0" ApplicationName=".NET Library">
   <Actions>
      <ObjectPath Id="2" ObjectPathId="1" />
      <ObjectPath Id="4" ObjectPathId="3" />
      <Query Id="5" ObjectPathId="3">
         <Query SelectAllProperties="false">
            <Properties>
               <Property Name="Title" ScalarProperty="true" />
            </Properties>
         </Query>
      </Query>
   </Actions>
   <ObjectPaths>
      <StaticProperty Id="1" TypeId="{3747adcd-a3c3-41b9-bfab-4a64dd2f1e0a}" Name="Current" />
      <Property Id="3" ParentId="1" Name="Web" />
   </ObjectPaths>
</Request>

解决方案 #

1. 确认Azure AD应用权限配置 #

• 在Azure AD中注册的应用需授予SharePoint Online应用权限（而非委派权限），例如Sites.FullControl.All、Sites.ReadWrite.All等，且必须完成管理员同意。
• 避免仅添加委派权限，应用仅认证模式下委派权限无效。

2. 使用PnP Framework内置的应用仅认证方法 #

无需手动实现令牌获取逻辑，PnP的AuthenticationManager已封装完整流程，直接使用以下代码即可避免令牌格式问题：

var authManager = new AuthenticationManager(clientId, clientSecret, tenantId);
using var context = await authManager.GetContextAsync(siteUrl.ToString());

var web = context.Web;
context.Load(web, w => w.Title);
await context.ExecuteQueryAsync();

3. 验证令牌有效性 #

如果仍需手动获取令牌，需确保：

• resource参数为https://<your-tenant>.sharepoint.com（例如https://mysite.sharepoint.com），而非站点级URL。
• 获取的令牌受众（aud声明）与SharePoint资源匹配，可通过令牌解析工具验证。

4. 检查站点权限分配 #

通过PowerShell确认应用权限已正确分配到目标站点：

Connect-SPOService -Url https://<tenant>-admin.sharepoint.com
Set-SPOTenantAppPermission -AppId <clientId> -Scope "https://<tenant>.sharepoint.com/sites/FileStructureSandbox" -PermissionLevel FullControl

内容的提问来源于stack exchange，提问作者Adam