Python从企业SharePoint下载文件遇Okta认证跳转问题求助

核心问题分析 #

你当前的代码仅完成了Okta初始认证的第一步，但Okta到SharePoint的完整认证流程需要获取SAML断言并提交给SharePoint完成身份校验；如果企业开启了MFA（多因素认证），还需要额外处理验证步骤。直接调用/api/v1/authn后就访问SharePoint，Session里并没有SharePoint认可的认证凭据，自然无法成功访问。

分步解决方案 #

1. 完成Okta完整认证（含MFA处理） #

首先走完Okta的认证流程，获取有效会话凭据：

• 提交用户名密码到Okta的/api/v1/authn接口，根据响应状态判断是否需要MFA：
  • 若响应status为SUCCESS，说明无需MFA，直接获取会话令牌；
  • 若为MFA_REQUIRED，需根据返回的factors选择验证方式（如TOTP、短信），提交验证码完成认证。

示例代码（TOTP类型MFA处理）：

import requests
import pyotp

session = requests.Session()

# 第一步：提交用户名密码
auth_payload = {
    "username": "你的企业账号",
    "password": "你的账号密码"
}
auth_resp = session.post("https://你的Okta域名.com/api/v1/authn", json=auth_payload)
auth_data = auth_resp.json()

# 处理TOTP类型MFA
if auth_data["status"] == "MFA_REQUIRED":
    # 筛选TOTP因子
    totp_factor = next(f for f in auth_data["factors"] if f["factorType"] == "token:software:totp")
    # 生成TOTP验证码
    totp = pyotp.TOTP(totp_factor["profile"]["sharedSecret"])
    verify_payload = {
        "stateToken": auth_data["stateToken"],
        "passCode": totp.now()
    }
    # 提交验证码
    verify_resp = session.post(totp_factor["_links"]["verify"]["href"], json=verify_payload)
    verify_data = verify_resp.json()
    if verify_data["status"] != "SUCCESS":
        raise Exception("MFA验证失败，请检查验证码")

2. 获取SAML断言并提交给SharePoint #

Okta认证成功后，需要获取用于SharePoint的SAML断言，提交到SharePoint的认证端点完成身份校验：

• 访问Okta后台配置的SharePoint应用跳转链接（格式类似https://你的Okta域名.com/home/sharepoint/应用ID/跳转ID，可从Okta应用详情页获取）；
• 解析响应HTML，提取表单中的SAMLResponse和RelayState字段；
• 将这两个字段POST到SharePoint的ACS认证端点（通常是https://你的SharePoint域名.com/_trust/）。

示例代码：

from bs4 import BeautifulSoup

# 访问Okta的SharePoint应用跳转页
app_resp = session.get("https://你的Okta域名.com/home/sharepoint/应用ID/跳转ID")
# 解析HTML提取SAML表单数据
soup = BeautifulSoup(app_resp.text, "html.parser")
saml_form = soup.find("form", {"action": lambda x: x and "_trust/" in x})
saml_response = saml_form.find("input", {"name": "SAMLResponse"})["value"]
relay_state = saml_form.find("input", {"name": "RelayState"})["value"]

# 提交SAML断言到SharePoint完成认证
sp_auth_payload = {
    "SAMLResponse": saml_response,
    "RelayState": relay_state
}
session.post(saml_form["action"], data=sp_auth_payload)
# 此时Session已包含SharePoint的认证Cookie，可正常访问资源

3. 下载SharePoint文件 #

认证完成后，直接用同一个Session访问文件下载链接即可：

# 替换为实际的文件下载链接
file_url = "https://你的SharePoint域名.com/sites/站点名/Documents/目标文件.pdf"
file_resp = session.get(file_url)
# 保存文件到本地
with open("下载的文件.pdf", "wb") as f:
    f.write(file_resp.content)

关键注意事项 #

• 依赖安装：需安装requests、beautifulsoup4、pyotp（使用TOTP时），执行命令：pip install requests beautifulsoup4 pyotp；
• 权限与配置：确保你的Okta账号有权限访问目标SharePoint应用，且应用的认证配置正确；
• 会话一致性：全程使用同一个requests.Session实例，保证Cookie在各步骤间传递；
• 动态调整：SAML表单字段、ACS端点可能因SharePoint配置不同略有变化，需根据实际响应调整解析逻辑。

内容的提问来源于stack exchange，提问作者Idan Moran