配置SSO的Teams Tab应用无法通过teamslogon.aspx重定向至SharePoint站点求助

核心原因 #

你的Teams应用当前SSO配置的资源是自定义API（api://abc.com/25a08858-151f-477d-8fff-e72c9254ac22），而teamslogon.aspx需要获取SharePoint站点的访问权限，两者资源不匹配，导致无法完成重定向。

具体解决步骤 #

• 配置Azure AD应用权限

  1. 登录Azure AD门户，找到ID为25a08858-151f-477d-8fff-e72c9254ac22的应用注册
  2. 进入「API权限」页面，点击「添加权限」→ 选择「SharePoint Online」→ 勾选委派权限（如Sites.Read.All，或针对目标站点的特定权限）
  3. 点击「授予管理员同意」，确保权限生效

• 调整teamslogon.aspx URL参数
  在原链接中补充SharePoint资源标识参数，确保SSO流程获取到对应站点的令牌：

  https://{tenant}.sharepoint.com/_layouts/15/teamslogon.aspx?spfx=true&dest=https://{tenant}.sharepoint.com/sites/myNewSite&resource=https://{tenant}.sharepoint.com
  

  注意：将dest改为完整绝对URL，避免路径解析错误

• 验证令牌受众
  完成SSO登录后，解码获取到的JWT令牌，检查aud字段是否为https://{tenant}.sharepoint.com，如果匹配则说明权限和参数配置正确

• 可选：扩展Teams应用SSO资源范围
  如果需要应用同时访问自定义API和SharePoint，可以在Azure AD应用注册的「Expose an API」页面，添加https://{tenant}.sharepoint.com作为已批准的客户端应用，确保令牌能同时包含多资源权限

内容的提问来源于stack exchange，提问作者DevÁsith