联合环境下非交互式.NET控制台应用获取SPO的MSAL令牌问题排查

1. UriFormatException错误解析与修复 #

错误含义 #

该错误表示程序在构建认证请求的URI时，无法解析出合法的主机名，导致请求无法发送到Azure AD认证端点。

涉及的URI/主机名 #

问题出在MSAL.NET生成的Azure AD认证端点URI上，通常是由于租户配置错误，导致SDK无法生成正确的login.microsoftonline.com相关端点地址。

修复方案 #

• 修正TenantId配置：你当前使用的TenantId = "tenant.com"不是有效的租户标识符，替换为以下任意一种：
  • 租户的GUID（可从Azure AD门户"概述"页面获取）
  • 租户的完整域名（如yourtenant.onmicrosoft.com）
• 明确指定Authority：在构建PublicClientApplication时，显式指定Azure AD的认证权威端点，避免SDK默认生成错误URI。

修正后的IWA认证代码：

WebRequest.DefaultWebProxy = WebRequest.GetSystemWebProxy();
WebRequest.DefaultWebProxy.Credentials = CredentialCache.DefaultNetworkCredentials;

var scopes = new string[] { "https://yourtenant.sharepoint.com/.default" }; // 替换为你的租户SPO域名
var options = new PublicClientApplicationOptions()
{
    TenantId = "your-tenant-guid-or-yourtenant.onmicrosoft.com", // 替换为正确租户ID
    ClientId = "872cd9fa-d31f-45e0-9eab-6e460a02d1f1", // 保留Visual Studio公共客户端ID
};

var publicApplication = PublicClientApplicationBuilder
    .CreateWithApplicationOptions(options)
    .WithAuthority(AzureCloudInstance.AzurePublic, options.TenantId)
    .Build();

// 推荐使用await而非.Result，避免死锁风险
var token = await publicApplication.AcquireTokenByIntegratedWindowsAuth(scopes)
    .ExecuteAsync();

2. 非交互模式下的认证适配 #

你当前的交互式代码依赖弹出浏览器窗口，非交互的定时任务环境不支持这种方式，必须使用**Integrated Windows Auth（IWA）**这种无交互认证方式，上述修正后的代码就是适配非交互场景的方案。

额外注意事项 #

• 运行定时任务的机器必须加入目标AD域，且任务需配置为使用有权访问SPO的AD域账户执行
• 确认Azure AD中该公共客户端应用（ID：872cd9fa-d31f-45e0-9eab-6e460a02d1f1）已启用"允许公共客户端流"（在Azure AD门户的应用注册→认证→高级设置中开启）
• 确保AD域账户对目标SPO文件夹拥有读取/下载权限

内容的提问来源于stack exchange，提问作者Pavel Botygin