使用Azure AD应用仅访问时调用GetContextAsync遇401未授权问题

我参考了微软官方的SharePoint应用仅身份验证文档，但将示例代码修改为使用GetContextAsync替代GetAzureADAppOnlyAuthenticatedContext后，每次调用await cc.ExecuteQueryAsync();时都会抛出错误：“The remote server returned an error: (401) Unauthorized.”。我已将自签名证书上传至Azure门户，并为应用授予了相应权限。我的应用是基于.NET Framework 4.7的WinForms程序，使用PnP.Framework 1.11版本。另外想确认：tenantId参数应填写什么？目前我使用的是Azure门户概览页面中的Directory (tenant) ID。

关于tenantId的确认 #

你的用法是正确的：tenantId参数确实需要填写Azure AD租户概览页面中的Directory (tenant) ID。

401未授权错误的排查与解决 #

针对你遇到的问题，按以下步骤逐一排查：

1. 检查GetContextAsync的参数传递是否正确 #

PnP.Framework中GetContextAsync用于应用仅身份验证时，必须传入完整的必要参数，确保调用格式正确：

// 示例正确调用方式
X509Certificate2 certificate = LoadYourCertificate(); // 从本地PFX加载证书，确保包含私钥
string siteUrl = "你的SharePoint站点URL";
string clientId = "Azure AD应用的客户端ID";
string tenantId = "你的Directory (tenant) ID";

var cc = await AuthenticationManager.GetContextAsync(siteUrl, clientId, tenantId, certificate);

• 确认加载的证书包含私钥：自签名证书导出时必须勾选“包含私钥”选项，否则无法完成身份验证。
• 检查证书密码是否正确，避免加载证书时出现隐性错误。

2. 验证Azure AD应用的权限配置 #

• 确保授予的是应用权限而非委托权限：应用仅身份验证模式不支持委托权限，必须添加应用权限（例如SharePoint的Sites.FullControl.All）。
• 确认已完成管理员同意：应用权限需要租户管理员手动授予同意，在Azure AD应用的“API权限”页面中，点击“授予管理员同意”并确认状态为“已授予”。

3. 检查PnP.Framework版本兼容性 #

PnP.Framework 1.11版本对于.NET Framework 4.7可能存在部分已知问题，建议尝试升级到与.NET Framework 4.7兼容的较新版本（例如1.12.x或后续稳定版），查看是否能解决GetContextAsync的身份验证问题。

4. 确认证书的有效性与匹配性 #

• 检查Azure AD应用中上传的证书指纹，与本地加载的证书指纹是否完全一致：指纹不匹配会直接导致身份验证失败。
• 确认证书未过期：检查证书的有效期，过期证书无法通过Azure AD的验证。

5. 处理WinForms中的异步调用上下文问题 #

WinForms应用的同步上下文可能导致异步调用死锁或验证流程异常，尝试修改ExecuteQueryAsync的调用方式：

await cc.ExecuteQueryAsync().ConfigureAwait(false);

ConfigureAwait(false)可以避免捕获当前同步上下文，减少异步调用中的潜在问题。

内容的提问来源于stack exchange，提问作者Jack Le