向公开SharePoint文件发GET请求时，Access Token报错401如何解决？

你操作中的核心错误 #

• 错误使用了旧的ACS授权端点：https://accounts.accesscontrol.windows.net是SharePoint旧的访问控制服务端点，仅适用于租户内部授权场景，公开共享的文件根本不需要这类Bearer Token。你强行添加这个Token反而会触发SharePoint的授权校验逻辑，导致401错误。
• 误解了公开文件的访问机制：匿名窗口能打开是因为浏览器自动处理了SharePoint的重定向和临时Cookie生成流程，而你直接用原URL+Bearer Token跳过了这个匿名授权的前置步骤，自然无法通过校验。

JavaScript请求公开SharePoint文件的正确方式 #

公开共享的SharePoint文件支持匿名访问，你不需要额外获取Token，只需要让请求模拟浏览器的匿名访问流程，处理重定向和Cookie即可。以下是两种可行方案：

方案1：使用Fetch API自动处理重定向与Cookie #

async function getPublicSPFileAsBase64(fileUrl) {
  const response = await fetch(fileUrl, {
    method: 'GET',
    credentials: 'include', // 自动处理Cookie
    redirect: 'follow' // 自动跟随重定向
  });

  if (!response.ok) {
    throw new Error(`请求失败: ${response.status}`);
  }

  const blob = await response.blob();
  return new Promise((resolve, reject) => {
    const reader = new FileReader();
    reader.onloadend = () => resolve(reader.result.split(',')[1]); // 提取base64部分
    reader.onerror = reject;
    reader.readAsDataURL(blob);
  });
}

// 使用示例
getPublicSPFileAsBase64('你的公开文件URL')
  .then(base64 => console.log('Base64内容:', base64))
  .catch(err => console.error('错误:', err));

方案2：直接获取文件的CDN直链（更高效） #

当你在匿名窗口打开公开文件时，最终会跳转到https://publiccdn.sharepointonline.com/开头的CDN地址，这个地址是直接可匿名访问的，不需要Cookie。你可以通过解析原URL的重定向目标来获取这个直链，避免Cookie依赖：

async function getSPFileCDNUrl(fileUrl) {
  const response = await fetch(fileUrl, {
    method: 'HEAD', // 只请求头，不下载文件
    redirect: 'manual' // 不自动跟随重定向
  });

  if (response.status === 302) {
    return response.headers.get('Location');
  }
  // 如果没有重定向，直接返回原URL
  return fileUrl;
}

// 获取CDN直链后再下载为base64
async function getFileFromCDNAsBase64(cdnUrl) {
  const response = await fetch(cdnUrl);
  const blob = await response.blob();
  const reader = new FileReader();
  return new Promise((resolve) => {
    reader.onload = () => resolve(reader.result.split(',')[1]);
    reader.readAsDataURL(blob);
  });
}

// 使用示例
getSPFileCDNUrl('你的公开文件URL')
  .then(cdnUrl => getFileFromCDNAsBase64(cdnUrl))
  .then(base64 => console.log('Base64内容:', base64))
  .catch(err => console.error('错误:', err));

针对Salesforce的额外说明 #

如果是在Salesforce Apex中调用，需要注意：

• Apex的HttpRequest默认不处理Cookie和重定向，你需要手动捕获302重定向，获取Location头的CDN地址，再发起第二次请求。
• 不需要添加任何Authorization头，直接匿名请求即可。

内容的提问来源于stack exchange，提问作者Marian Lyzhychka