如何在Microsoft Teams自定义应用中按角色设置标签页可见权限

注意：仅靠前端入口隐藏无法做到完全的权限管控，必须配合清单配置+后端校验两层逻辑，避免普通用户通过直链绕过限制访问abc页内容。

1. 配置应用清单的角色访问规则 #

你需要先修改自定义应用的manifest.json清单文件，针对不同标签配置允许访问的角色：

• 提前在和Teams应用关联的Azure AD应用注册中，定义admin（管理员）、user（普通用户）两个应用角色，将对应人员/用户组分配到匹配角色下。
• 找到清单中配置标签的staticTabs（个人静态标签）或configurableTabs（频道/群组可配置标签）节点，给abc标签的配置项添加allowedRoles字段，值仅保留admin；chat、about标签的allowedRoles字段配置为同时包含user和admin，保证所有用户可见。
  个人静态标签的配置示例如下：

  "staticTabs": [
    {
      "entityId": "abc",
      "name": "abc",
      "contentUrl": "https://你的应用部署域名/abc页路径",
      "allowedRoles": ["admin"]
    },
    {
      "entityId": "chat",
      "name": "chat",
      "contentUrl": "https://你的应用部署域名/chat页路径",
      "allowedRoles": ["user", "admin"]
    },
    {
      "entityId": "about",
      "name": "about",
      "contentUrl": "https://你的应用部署域名/about页路径",
      "allowedRoles": ["user", "admin"]
    }
  ]
  

• 配置完成后重新打包应用上传到Teams管理中心，替换原有应用版本，等待5-10分钟让权限规则同步生效。这一步完成后，普通用户在Teams里打开应用就看不到abc标签的入口了。

2. 增加运行时权限校验（必做，防绕过） #

清单配置的allowedRoles仅能控制标签入口的显示/隐藏，无法阻止用户通过直接输入abc页地址访问内容，必须加二次校验：

• 在abc页的初始化逻辑中，引入Teams JS SDK调用microsoftTeams.getContext()方法，获取当前登录用户的租户ID、用户ID信息。
• 将获取到的用户信息传到你的自有后端，校验该用户是否属于管理员角色。
• 校验不通过时直接返回403无权限提示，不加载abc页的任何业务内容。

常见踩坑点：如果你的abc标签是配置在团队频道里的可配置标签，allowedRoles字段不会生效，需要在标签首次添加到频道时手动配置可见成员范围，同时必须保留后端的权限校验逻辑，否则无法实现权限管控。

内容的提问来源于stack exchange，提问作者testing one