Python使用OAuth2连接SharePoint报403访问拒绝问题咨询

你直接替换client_id/client_secret返回403，核心原因是原有代码用的ClientCredential默认对接旧版SharePoint ACS app-only认证，不是Azure AD OAuth2客户端凭证流，且你未给注册的应用授予对应SharePoint资源的访问权限，会直接返回E_ACCESSDENIED错误。

• 在Azure AD应用注册页面新建应用，记录client_id、client_secret、租户ID（tenant_id）
• 给应用添加SharePoint应用程序权限：选择Sites.Read.All（如需写入操作则添加Sites.ReadWrite.All），点击「授予管理员同意」使权限生效
• 如你的SharePoint站点配置了条件访问（IP限制、设备合规要求等），需要提前找管理员给该应用开通访问豁免

首先安装符合要求的依赖版本：

pip install Office365-REST-Python-Client>=2.5.11 boto3 requests

方式1：SDK自动处理OAuth2令牌获取（推荐，代码最简） #

SDK会自动完成令牌申请、续期逻辑，无需手动处理令牌请求：

import boto3
from office365.sharepoint.client_context import ClientContext
from office365.sharepoint.files.file import File

# 基础配置
SP_SITE_URL = "https://companyname.sharepoint.com/sites/sitename"
TENANT_ID = "你的Azure AD租户ID"
CLIENT_ID = config["sharepoint"]["clientID"]
CLIENT_SECRET = config["sharepoint"]["client_secret"]
FOLDER_URL = "SharePoint目标文件夹的服务器相对路径"
# S3配置
S3_TARGET_BUCKET = "你的S3存储桶名"
s3_client = boto3.client("s3")

# OAuth2认证初始化
ctx = ClientContext(SP_SITE_URL).with_client_secret(
    client_id=CLIENT_ID,
    client_secret=CLIENT_SECRET,
    tenant=TENANT_ID
)

# 拉取SharePoint文件并直接上传S3（无需落本地磁盘）
current_file_name = "目标文件名示例.docx"
file_url = f"{FOLDER_URL}/{current_file_name}"
response = File.open_binary(ctx, file_url)

if response.status_code == 200:
    s3_client.put_object(
        Bucket=S3_TARGET_BUCKET,
        Key=f"sharepoint_sync/{current_file_name}",
        Body=response.content
    )
else:
    raise RuntimeError(f"文件拉取失败，状态码：{response.status_code}，错误信息：{response.text}")

方式2：手动获取OAuth2令牌后初始化上下文（适合自定义令牌缓存、权限排查场景） #

如果需要自定义令牌逻辑（比如复用现有令牌服务、加缓存减少令牌请求），可以先手动调用微软身份平台接口拿令牌，再传入上下文：

import requests
import boto3
from office365.sharepoint.client_context import ClientContext
from office365.sharepoint.files.file import File

# 基础配置
SP_SITE_URL = "https://companyname.sharepoint.com/sites/sitename"
SP_ROOT_DOMAIN = "https://companyname.sharepoint.com"
TENANT_ID = "你的Azure AD租户ID"
CLIENT_ID = config["sharepoint"]["clientID"]
CLIENT_SECRET = config["sharepoint"]["client_secret"]
FOLDER_URL = "SharePoint目标文件夹的服务器相对路径"
S3_TARGET_BUCKET = "你的S3存储桶名"
s3_client = boto3.client("s3")

# 手动请求OAuth2访问令牌
token_api = f"https://login.microsoftonline.com/{TENANT_ID}/oauth2/v2.0/token"
token_payload = {
    "grant_type": "client_credentials",
    "client_id": CLIENT_ID,
    "client_secret": CLIENT_SECRET,
    "scope": f"{SP_ROOT_DOMAIN}/.default"
}
token_resp = requests.post(token_api, data=token_payload)
token_resp.raise_for_status()
access_token = token_resp.json()["access_token"]

# 用拿到的令牌初始化上下文
ctx = ClientContext(SP_SITE_URL).with_access_token(access_token)

# 后续拉取文件、上传S3逻辑和方式1完全一致
current_file_name = "目标文件名示例.docx"
file_url = f"{FOLDER_URL}/{current_file_name}"
response = File.open_binary(ctx, file_url)

• 确认添加的是应用程序权限而非委托权限，客户端凭证流（app-only）下委托权限不生效
• 确认已点击「授予管理员同意」，未完成该步骤的应用权限不会实际生效
• 确认令牌请求的scope配置正确：必须填写对应SharePoint根域名的.default scope，不要误填Microsoft Graph的scope
• 如果不需要全租户文件访问权限，不要配置全租户Sites.Read.All，需要单独给目标站点授予该应用的细粒度访问权限
• 检查client_secret是否在有效期内，Azure AD应用secret默认有效期为1-2年，过期后无法获取有效令牌

内容的提问来源于stack exchange，提问作者Lotem Kirshner