禁用LegacyAuthProtocolsEnabled后SharePoint后台自动化认证求助

禁用Legacy Authentication后的无交互SharePoint后台认证方案及问题解决 #

禁用Legacy Auth后，完全可以通过**Azure AD应用注册的客户端凭据流（Client Credentials Flow）**实现无用户交互的后台自动化操作，这是微软官方推荐的现代认证方式，不受Legacy Auth禁用限制。

针对你遇到的401错误，问题大概率出在应用配置或代码选型上，以下是具体解决步骤：

一、正确配置Azure AD应用注册 #

1. 在Azure AD门户创建应用注册，选择单租户（内部场景推荐）。
2. 进入「证书和机密」页面，创建客户端密码（即你代码里的MySecretId），务必保存好密码值（仅显示一次）。
3. 进入「API权限」页面，添加SharePoint Online的应用权限：
   • 选择「应用权限」而非委托权限（后台任务无需用户上下文），按需勾选权限（如Sites.FullControl.All或Sites.ReadWrite.All）。
   • 点击「授予管理员同意」，这一步必须完成，否则权限不会生效。

二、调整PnP Framework代码 #

你之前用的GetACSAppOnlyContext依赖旧的ACS认证服务，现在需替换为Azure AD客户端凭据的认证方法，示例代码如下：

using PnP.Framework;

var tenantId = "你的Azure AD租户ID";
var clientId = "应用注册的客户端ID";
var clientSecret = "应用的客户端密码";
var siteUrl = "https://mycompany.sharepoint.com/sites/你的具体站点URL";

var clientContext = new AuthenticationManager().GetAzureADAppOnlyAuthenticatedContext(
    siteUrl,
    clientId,
    tenantId,
    clientSecret);

using (clientContext)
{
    var web = clientContext.Web;
    clientContext.Load(web);
    clientContext.ExecuteQuery();

    var lists = web.Lists;
    clientContext.Load(lists);
    clientContext.ExecuteQuery();

    foreach (var list in lists)
    {
        // 处理列表逻辑
    }
}

三、关键排查点 #

• 站点URL必须指向具体的目标站点（如https://xxx.sharepoint.com/sites/TeamSite），不能仅到站点集根路径（你之前代码里的https://mycompany.sharepoint.com/sites是无效的）。
• 确认客户端密码未过期、ID与密钥输入无误。
• 检查API权限页面，确保权限状态显示为「已授予」。

为什么ACS方法会报错？ #

GetACSAppOnlyContext依赖的ACS服务虽不属于Legacy Auth范畴，但部分租户禁用Legacy Auth后会限制ACS的使用，且微软已逐步推荐用Azure AD客户端凭据流替代ACS，因此优先采用上述方案即可解决问题。

内容的提问来源于stack exchange，提问作者Thierry