Microsoft Teams Toolkit Multitenant Teams App开发报错及CORS问题求助

• 检查应用的发布者域配置：多租户应用必须配置已完成微软验证的发布者域，进入Azure门户→Azure AD→应用注册→对应应用→品牌属性页，确认发布者域已完成DNS验证，未配置或验证不通过会直接触发多租户切换报错。
• 检查账户类型配置路径：不要直接修改应用清单切换多租户，走官方配置入口：身份验证→支持的账户类型，选择任何组织目录中的账户（任何Azure AD目录 - 多租户），未特殊要求不要同时勾选个人微软账户选项，避免触发权限兼容限制。
• 检查权限配置：如果应用已申请需要管理员同意的高风险Graph权限，未完成微软应用合规审核前切换多租户会被拦截，可先将权限调整为普通委托类型权限测试切换，后续再补充高权限审核流程。
• 检查租户策略限制：联系当前操作租户的全局管理员，确认组织未限制多租户应用的注册权限。

• 首先明确OBO流的适用范围：On-Behalf-Of流属于服务端专属OAuth流，禁止前端浏览器直接调用，所有向https://login.microsoftonline.com发起的OBO Token请求必须由你的后端服务转发，前端直接调用必然触发CORS错误。
• 若你使用的是前端适配的OAuth流（授权码流PKCE模式、隐式流）仍然触发CORS，按以下步骤检查：
  • 进入Azure AD应用注册→身份验证→单页应用（SPA）平台配置，确认Teams Tab的完整部署域名（包含http/https前缀、端口号）已添加到重定向URI列表。
  • 检查应用清单的oauth2AllowImplicitFlow（隐式流）、oauth2AllowAuthorizationCodeFlow（授权码流）配置是否已开启，和你使用的OAuth流类型匹配。
  • 禁止在前端请求中携带应用客户端密钥，客户端密钥仅允许存储在服务端，前端携带密钥请求会触发微软登录端点的安全拦截，返回CORS错误。
• 检查Token请求端点配置：多租户应用需使用https://login.microsoftonline.com/organizations/oauth2/v2.0/token作为通用请求端点，不要使用单租户专属的端点路径。
• 检查请求参数合法性：OBO流的scope参数仅允许填写下游API（如Graph）的权限值，不要添加应用自身暴露的API scope。

内容的提问来源于stack exchange，提问作者user25879