在SharePoint Add-in中使用Office Management API遇CORS问题的解决方法

我之前帮不少开发者解决过这个问题，核心原因其实很明确：Office Management API本身不支持直接从浏览器端（包括SharePoint Add-in的客户端脚本）发起跨域请求——这是微软针对该API的设计限制，哪怕你严格按照文档走完所有配置步骤，浏览器的同源策略还是会拦截请求。下面是几种经过验证的可行解决方案：

方案1：用SharePoint Add-in的远程Web应用做代理 #

这是最贴合SharePoint Add-in场景的方案：

• 把API调用逻辑移到你的Add-in的远程Web后端（比如C#/VB.NET项目），服务器端请求不受浏览器同源策略限制，自然不会有CORS问题。
• 具体步骤：
  1. 在远程Web项目中，用HttpClient发起对Office Management API的请求。
  2. 通过客户端凭据流获取访问令牌：用Add-in注册时的客户端ID和密钥，向Azure AD令牌端点（https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token）请求令牌，权限范围指定https://manage.office.com/.default。
  3. 拿到令牌后，在请求Office Management API时，把令牌放在Authorization头里（格式：Bearer {token}）。
  4. 最后把API返回的审计日志数据，通过你的远程Web接口返回给Add-in的前端脚本。

方案2：用Azure Function作为中间代理 #

如果你的Add-in没有远程Web后端，或者想解耦逻辑，可以用Azure Function做中转：

• 创建一个Azure Function，在函数内部实现调用Office Management API的逻辑（同样用客户端凭据流获取令牌）。
• 在Azure Function的门户配置里，把你的SharePoint Add-in域名加入CORS允许列表，这样前端就能安全请求这个Function接口。
• 前端脚本直接请求Azure Function的接口，由Function转发请求到Office Management API并返回结果。

关键注意事项 #

• 绝对不要在客户端脚本里硬编码客户端密钥或直接请求令牌，这会导致严重的安全风险（密钥泄露后攻击者可获取租户审计日志）。
• 确保你的Add-in（或对应的服务主体）已经被授予AuditLog.Read.All应用权限，且该权限已被租户管理员同意——这是调用Office Management API获取审计日志的必要前提。

内容的提问来源于stack exchange，提问作者Amardeep Gupta