C#使用SharePoint.Client共享文件夹给指定用户的实现问题咨询

你遇到的两个报错属于同一原因：使用Client ID+Client Secret的App Only认证模式时，默认缺少权限授予类操作的必要权限。
你之前能正常完成文件夹创建、文件上传操作，是因为这类操作仅需要站点列表读写权限，但共享文件夹属于权限分配类操作，对权限等级有更高要求，普通读写权限无法触发；且旧的RoleBinding直接赋值方案不会触发SharePoint原生的权限继承、通知发送逻辑，和手动共享的效果不一致。

第一步：补全应用权限配置 #

根据你注册应用的渠道不同，分别完成权限配置：

• 若为经典SharePoint Add-in模式（在/_layouts/15/appregnew.aspx注册的应用）：进入/_layouts/15/appinv.aspx找到对应应用，更新权限XML，必须添加站点集级别的ManagePermissions权限：

<AppPermissionRequests AllowAppOnlyPolicy="true">
  <AppPermissionRequest Scope="http://sharepoint/content/sitecollection" Right="ManagePermissions" />
  <AppPermissionRequest Scope="http://sharepoint/content/sitecollection" Right="Write" />
</AppPermissionRequests>

提交后必须由站点集管理员完成权限同意流程，否则配置不生效。

• 若为Azure AD注册的应用：进入Azure AD对应应用的API权限页，添加SharePoint应用程序权限Sites.FullControl.All，注意不要误加委托权限，App Only模式下仅应用程序权限生效，添加完成后执行租户级管理员同意。

注意：如果租户开启了App Only访问站点范围限制，需要提前将目标站点集加入允许访问列表，否则即使配置了全控权限也会返回拒绝访问。

第二步：调用ShareObject方法实现原生效果共享 #

权限配置完成后，直接调用官方ShareObject方法实现，不要使用旧的RoleBinding直接赋值方案。注意参数必须匹配原生共享的逻辑：

• role参数和UI权限对应：查看权限值为1，编辑权限值为2，所有者权限值为3
• 必须设置PropagateAcl = true，权限才会同步到所有子文件夹、子文件，和手动共享时的子项继承效果一致
• 组织内用户标识必须使用标准登录名格式：i:0#.f|membership|用户邮箱，不能直接传入邮箱字符串或显示名

可直接复用的CSOM代码示例：

using Microsoft.SharePoint.Client;

// 初始化App Only认证上下文
var siteUrl = "目标站点完整地址";
var clientId = "应用Client ID";
var clientSecret = "应用Client Secret";
using (var ctx = new ClientContext(siteUrl))
{
    ctx.Credentials = new SharePointOnlineCredentials(clientId, clientSecret);
    // 目标文件夹服务器相对地址，例：/sites/demo/Shared Documents/项目归档
    var targetFolderRelativeUrl = "/sites/demo/Shared Documents/项目归档";
    // 待授权用户列表
    var roleAssignments = new List<Microsoft.SharePoint.Client.Sharing.UserRoleAssignment>
    {
        new Microsoft.SharePoint.Client.Sharing.UserRoleAssignment
        {
            User = new Principal { LoginName = "i:0#.f|membership|zhangsan@contoso.onmicrosoft.com" },
            Role = Microsoft.SharePoint.Client.Sharing.Role.Edit
        },
        new Microsoft.SharePoint.Client.Sharing.UserRoleAssignment
        {
            User = new Principal { LoginName = "i:0#.f|membership|lisi@contoso.onmicrosoft.com" },
            Role = Microsoft.SharePoint.Client.Sharing.Role.View
        }
    };
    // 配置共享参数
    var shareOptions = new Microsoft.SharePoint.Client.Sharing.ShareObjectOptions
    {
        IsShareLink = false, // 不生成共享链接，直接给用户授予对应权限，和原生手动授权效果一致
        PropagateAcl = true, // 权限同步至所有子文件夹、子文件
        UserRoleAssignments = roleAssignments
    };
    // 执行共享操作
    var shareResult = Microsoft.SharePoint.Client.Sharing.Web.ShareObject(ctx, targetFolderRelativeUrl, shareOptions);
    ctx.Load(shareResult);
    ctx.ExecuteQuery();
    // shareResult.Status为true时代表共享成功
}

特殊场景兼容 #

如果完成上述配置后仍然返回权限错误，说明租户开启了App Only模式下的权限授予限制，此时切换为服务账号+应用的混合认证模式即可：用Client ID、Client Secret搭配一个对目标站点有完全控制权限的服务账号凭据构建用户上下文，再执行上述ShareObject逻辑，不需要申请租户级全控权限，只要服务账号对目标文件夹有所有者权限即可正常执行，效果和手动操作完全一致，也不会触发租户的App Only安全限制。

内容的提问来源于stack exchange，提问作者Bing Code