运行Fiddler/基于C# Fiddler SDK的程序时Teams无法登录问题咨询

这个问题和VPN地址绕过不全没有直接关系，官方Fiddler客户端也会触发同类异常，核心原因有三点：

• Microsoft Teams桌面客户端内置了HTTPS证书绑定（Certificate Pinning）机制：客户端本地硬编码了微软身份服务、Teams核心服务域名的证书指纹白名单，Fiddler类抓包工具启动后会将自签名根证书注入系统信任链，劫持HTTPS流量做解密，Teams校验到证书指纹和本地白名单不匹配，会直接阻断登录请求，不会走正常的请求响应流程。
• 新版Teams基于Edge WebView2内核开发，内置了系统代理劫持检测逻辑：哪怕你没有开启HTTPS流量解密，只要Fiddler类工具注册为系统代理，部分版本的Teams会触发安全防护策略直接拦截登录流程。
• 你之前配置的sHostsThatBypassFiddler仅加入了VPN相关域名，既没有覆盖Teams登录全链路的专属域名，也没有调整全局HTTPS解密规则，依然可能误拦截Teams的WebSocket长连接、身份校验请求，导致问题无法解决。

按优先级从高到低操作：

方案1：精准配置Fiddler绕过规则（不需要关闭原有抓包功能） #

不要只添加VPN地址，把Teams全链路域名加入绕过列表，C#配置代码如下：

// 多个域名用分号分隔，<local>为必加的本地地址绕过项
Fiddler.CONFIG.sHostsThatBypassFiddler = "VPN URLs;<local>;*.microsoftonline.com;*.teams.microsoft.com;*.teams.cdn.office.net;*.office.com;*.office365.com;*.skype.com;login.windows.net;*.msauth.net;*.msftauth.net";

配置完成后执行两个操作：

• 关闭Fiddler/自研抓包工具的「全局HTTPS解密」开关，仅对你PAC文件中列明的目标站点开启HTTPS解密，不要对全域名启用解密
• 重启抓包工具，在任务管理器中结束所有Teams相关进程（含Teams更新服务、WebView2后台进程）后，重新启动Teams测试

方案2：关闭系统代理自动注册（适配自研抓包程序场景） #

如果你的自研工具不需要抓取系统全局流量，仅需抓指定站点/进程的请求，启动Fiddler Core时不要注册为系统代理，改用进程级代理注入的方式抓目标流量，就不会触发Teams的代理检测：

// 启动时移除RegisterAsSystemProxy标记，不修改系统全局代理
var startupFlags = FiddlerCoreStartupFlags.Default & ~FiddlerCoreStartupFlags.RegisterAsSystemProxy;
FiddlerApplication.Startup(8888, startupFlags);

后续仅给需要抓包的目标进程配置指向127.0.0.1:8888的代理，Teams默认走直连不经过抓包工具，就不会出现登录异常。

方案3：关闭Teams证书校验（仅测试环境使用，不推荐生产环境操作） #

如果确实需要抓取Teams本身的流量，可以修改Teams启动参数禁用证书绑定校验：

1. 找到Teams快捷方式，右键打开属性面板
2. 在「目标」栏的路径末尾追加启动参数： --ignore-certificate-errors --disable-features=CertificatePinning
3. 保存设置后重启Teams，此时Fiddler的自签名证书不会被拦截，可以同时满足抓包和登录需求

注意：该方案会降低Teams通信安全性，日常生产环境使用不要开启此配置。

内容的提问来源于stack exchange，提问作者Amit Chauhan