如何在Azure APIM策略中添加操作，无需Azure Functions即可下载SharePoint文件

可以仅通过Azure API Management（APIM）的内置策略实现下载SharePoint文档实体中的文件，无需依赖Azure Functions。核心思路是通过APIM的send-request策略调用Microsoft Graph API完成令牌获取和文件内容拉取，再通过响应头和体的配置返回可下载的文件。

实现步骤 #

1. 配置Azure AD应用权限 #

• 在Azure Active Directory中注册一个应用程序，授予Sites.Read.All（或对应需求的权限，如Sites.ReadWrite.All）应用权限，并完成管理员同意。
• 记录该应用的客户端ID、客户端密钥和租户ID，后续在APIM中使用。

2. 在APIM中配置命名值 #

将上述获取的客户端ID、客户端密钥、租户ID以及目标SharePoint站点ID、文件ID、文件名存储为APIM的命名值（避免硬编码），方便策略中引用。

3. 编写APIM入站策略 #

通过send-request策略完成两个核心操作：获取Azure AD访问令牌、调用Graph API拉取文件内容，最后构建下载响应。以下是完整策略示例：

<policies>
    <inbound>
        <base />
        <!-- 获取Azure AD访问令牌 -->
        <send-request mode="new" response-variable-name="tokenResponse" timeout="20" ignore-error="false">
            <set-url>https://login.microsoftonline.com/{{tenant-id}}/oauth2/v2.0/token</set-url>
            <set-method>POST</set-method>
            <set-header name="Content-Type" exists-action="override">
                <value>application/x-www-form-urlencoded</value>
            </set-header>
            <set-body>@($"client_id={{client-id}}&client_secret={{client-secret}}&grant_type=client_credentials&scope=https://graph.microsoft.com/.default")</set-body>
        </send-request>
        <!-- 提取令牌到变量 -->
        <set-variable name="accessToken" value="@(((IResponse)context.Variables["tokenResponse"]).Body.AsJObject()["access_token"].ToString())" />
        
        <!-- 调用Graph API获取文件内容 -->
        <send-request mode="new" response-variable-name="fileResponse" timeout="20" ignore-error="false">
            <set-url>https://graph.microsoft.com/v1.0/sites/{{site-id}}/drive/items/{{file-id}}/content</set-url>
            <set-method>GET</set-method>
            <set-header name="Authorization" exists-action="override">
                <value>@($"Bearer {context.Variables["accessToken"]}")</value>
            </set-header>
        </send-request>
        
        <!-- 设置下载响应头和体 -->
        <set-header name="Content-Disposition" exists-action="override">
            <value>attachment; filename="{{file-name}}"</value>
        </set-header>
        <set-header name="Content-Type" exists-action="override">
            <value>@(((IResponse)context.Variables["fileResponse"]).Headers.GetValueOrDefault("Content-Type", "application/octet-stream"))</value>
        </set-header>
        <set-body>@(((IResponse)context.Variables["fileResponse"]).Body.AsStream())</set-body>
    </inbound>
    <backend>
        <base />
    </backend>
    <outbound>
        <base />
    </outbound>
    <on-error>
        <base />
    </on-error>
</policies>

关键注意事项 #

• 替换策略中所有{{占位符}}为实际值：{{site-id}}可使用站点域名+相对路径（如contoso.sharepoint.com,teamsite1）或站点ID；{{file-id}}为SharePoint文件的唯一标识符。
• 若APIM部署在虚拟网络内，需确保网络规则允许访问Azure AD令牌端点（login.microsoftonline.com）和Microsoft Graph API（graph.microsoft.com）。
• 权限需匹配业务需求：若仅需下载特定站点文件，Sites.Read.All应用权限足够；若需基于用户上下文访问，可改用授权码流，但需在策略中处理用户登录逻辑，复杂度会更高。

内容的提问来源于stack exchange，提问作者Q.Aimad