使用AccessToken调用SharePointOnline CSOM时持续出现401未授权问题求助

以下是针对你的问题的排查和修复步骤：

1. 确认权限已获得管理员同意 #

应用权限（如Sites.Read.All）必须由全局管理员或SharePoint管理员授予租户级同意：

• 登录Azure AD门户，进入你的应用注册 → API权限页面
• 检查Sites.Read.All权限的状态是否为已同意，如果未同意，点击授予管理员同意按钮并确认

2. 修正CSOM认证配置 #

手动添加Authorization头时，需禁用Form Digest处理（应用权限无需此验证），修改你的ClientContext配置：

var context = new ClientContext(siteUrl);
context.AuthenticationMode = ClientAuthenticationMode.Default;
context.FormDigestHandlingEnabled = false; // 关键：禁用Form Digest
context.ExecutingWebRequest += (_, e) =>
{
    e.WebRequestExecutor.RequestHeaders["Authorization"] = $"Bearer {authResult.AccessToken}";
};

3. 确保令牌Scope和受众正确 #

• 获取令牌时，必须使用租户根站点的/.default scope，格式为：https://<tenant>.sharepoint.com/.default，不能用子站点URL作为scope（否则会触发AADSTS500011错误）
• 解码JWT令牌，确认aud（受众）声明值为https://<tenant>.sharepoint.com，与你请求的scope匹配

4. 区分Azure AD应用与SharePoint站点级应用 #

你当前使用的是Azure AD应用注册，无需在SharePoint站点管理中心单独注册应用：

• 之前在站点管理中心注册的应用属于旧版SharePoint应用模型，与当前的Azure AD应用权限体系不兼容，需停止使用这类凭据

5. 验证站点URL的正确性 #

• 若访问根站点，使用https://<tenant>.sharepoint.com
• 若访问子站点，获取令牌时仍使用根站点的scope，仅在创建ClientContext时传入子站点完整URL（如https://<tenant>.sharepoint.com/sites/mySite）

测试修正后的代码，应该能正常执行ExecuteQueryAsync()并获取站点信息。

内容的提问来源于stack exchange，提问作者draconastar