TeamsFx API在Azure函数应用中双重验证？能否移除应用级身份验证？

可以安全移除函数应用级的身份验证，仅通过TeamsFx输入绑定来保护指定的Azure Function，同时在同一个函数应用中保留未受保护的端点，具体原因和注意事项如下：

核心原因 #

• TeamsFx绑定的验证能力足够：TeamsFx输入绑定会在函数执行前独立完成JWT令牌的全流程验证，包括签名合法性、令牌过期时间、受众（Audience）匹配，以及Teams场景特有的声明校验，验证逻辑和函数应用级的身份验证完全等效，甚至更贴合Teams应用的安全需求。
• 粒度更灵活：函数应用级身份验证是全局拦截所有请求，而TeamsFx绑定是针对单个函数配置的，这意味着你可以精准控制哪些函数需要身份验证，哪些可以公开访问，无需为了区分保护级别额外创建新的函数应用资源。

关键注意事项 #

• 不要遗漏绑定配置：所有需要身份验证的函数必须正确添加TeamsFx输入绑定，未配置绑定的函数会默认处于未受保护状态，若遗漏会导致敏感接口暴露风险。
• 验证配置一致性：确保TeamsFx绑定中的参数（如clientId、tenantId）与Azure AD中Teams应用的注册信息完全匹配，否则会出现令牌验证失败的情况。
• 做好测试验证：分别测试受保护和未受保护的端点：
  • 向受保护函数发送无效/过期令牌，应返回401 Unauthorized状态码；
  • 向未受保护端点发送请求，应正常返回响应内容。

内容的提问来源于stack exchange，提问作者Thomas