C# .NET Framework 4.7.2 控制台连接SharePoint 365 Online返回401未授权问题

1. 首先排查NuGet包依赖 #

你首先使用的Microsoft.SharePoint.Client.Online.CSOM是非官方维护的第三方包，存在兼容性风险，唯一官方支持的CSOM包为Microsoft.SharePointOnline.CSOM，请先卸载非官方包，安装官方最新版包。

2. 官方包报错核心原因 #

你看到的X-MSDAVEXT_Error=917656报错不是浏览器设置问题，核心原因是当前SharePoint Online租户默认禁用了 Legacy 用户名密码身份验证协议，尤其是满足以下任一条件时，SharePointOnlineCredentials类的认证方式直接失效：

• 租户开启了多因素认证（MFA）
• 租户管理员关闭了LegacyAuthProtocolsEnabled开关
• 租户配置了限制未授权设备访问的条件访问策略

3. 解决方案 #

方案A：仍使用用户名密码认证（仅适用于测试环境、无MFA的租户） #

需要管理员完成以下租户配置：

• 运行SharePoint Online PowerShell命令设置租户允许Legacy认证：

Set-SPOTenant -LegacyAuthProtocolsEnabled $true

• 确认当前登录用户未开启MFA，运行程序的设备符合租户条件访问合规要求
• 确认你传入的用户名是完整的UPN格式（如user@mydomain.com），无拼写错误

方案B：Azure AD应用认证（生产环境推荐，所有.NET版本通用） #

该方案不需要依赖Legacy认证，支持开启MFA的租户，.NET Framework和.NET Core/.NET Standard项目都需要做此配置，没有版本差异：

1. 进入Azure AD后台注册新应用，账户类型选择"仅当前组织目录中的账户"，无需配置重定向URI
2. 在应用的"API权限"页，添加SharePoint Online的对应权限：
   • 无人值守控制台程序选择应用权限，按需求分配Sites.Read.All/Sites.FullControl.All等权限
   • 有交互登录场景选择委托权限，分配对应权限
3. 权限配置完成后点击"授予管理员同意"，完成权限激活
4. 生成客户端密钥或者上传认证证书，在代码中替换原有认证逻辑，示例代码如下：

var siteUrl = "https://mycompany.sharepoint.com";
var clientId = "你注册的Azure AD应用客户端ID";
var clientSecret = "你生成的客户端密钥";
var tenantId = "你的租户ID";

var authenticationManager = new PnP.Framework.AuthenticationManager(clientId, clientSecret, tenantId);
using (var context = await authenticationManager.GetContextAsync(siteUrl))
{
    var web = context.Web;
    context.Load(web);
    await context.ExecuteQueryAsync();
}

注：上述示例依赖PnP.Framework包，也可以直接使用Azure AD MSAL库手动获取AccessToken后赋值给context.ExecutingWebRequest事件的请求头Authorization字段。

内容的提问来源于stack exchange，提问作者IngoB