使用PnP.Framework通过App Only认证连接SharePoint报401未授权错误求助

排查步骤及解决方案： #

• 确认ACS认证兼容性
  ACS是经典的App-Only认证方案，目前微软已逐步在现代SharePoint Online租户中弃用该方式。如果你的租户是较新的版本，大概率需要切换到Azure AD App-Only认证，而非ACS。

• 验证权限是否真正生效
  即便你完成了权限授予操作，仍需确认权限已正确应用：

  1. 访问租户管理站点的应用授权页面：https://<你的租户名>-admin.sharepoint.com/_layouts/15/appinv.aspx
  2. 输入你的应用clientId，点击"查找"，确认应用信息正确，且权限XML已正确配置
  3. 可通过PnP PowerShell验证权限：

     Get-PnPAzureADAppPermission -AppId <你的clientId>
     

     查看输出中是否包含http://sharepoint/content/tenant范围的FullControl权限。

• 检查代码参数准确性

  • 确保siteUrl是有效的SharePoint站点URL（如租户根站点https://<你的租户名>.sharepoint.com），避免拼写错误或多余字符
  • 确认clientId和clientSecret完全匹配应用注册时获取的信息，无空格或复制遗漏

• 切换到Azure AD App-Only认证（推荐方案）
  由于ACS的局限性，推荐使用Azure AD App-Only方式，步骤如下：

  1. 在Azure AD中注册应用，授予SharePoint > 应用程序权限 > Sites.FullControl.All权限并完成管理员同意
  2. 获取应用的clientId、tenantId和clientSecret
  3. 修改代码使用Azure AD认证方式：

     using (var clientContext = new AuthenticationManager().GetAzureADAppOnlyContext(
         siteUrl,
         clientId,
         tenantId,
         clientSecret))
     {
         var web = clientContext.Web;
         clientContext.Load(web, w => w.Title);
         clientContext.ExecuteQuery();
         Console.WriteLine(web.Title);
     }
     

• 启用租户ACS支持（若坚持使用ACS）
  如果必须使用ACS，需确认租户未禁用自定义应用认证：

  1. 使用SharePoint Online Management Shell执行：

     Get-SPOTenant | Select-Object DisableCustomAppAuthentication
     

  2. 若返回True，则执行以下命令启用ACS：

     Set-SPOTenant -DisableCustomAppAuthentication $false
     

     注：此操作需要租户管理员权限。

内容的提问来源于stack exchange，提问作者fiona