SPFx或网页调用Azure Function返回Forbidden错误，本地运行正常

1. 校验Key Vault访问权限差异 #

本地调试时使用当前登录的服务账号权限访问Key Vault，部署到Azure后Function默认使用自身的托管标识访问资源，优先排查该类配置问题：

• 确认Azure Function已启用系统分配托管标识或配置了正确的用户分配托管标识
• 检查Key Vault的访问策略，是否已为上述托管标识授予证书获取（Get）、机密读取（Get）权限
• 排查代码中是否存在本地调试硬编码的KV访问凭证、证书路径等配置，未替换为部署环境的环境变量、应用配置

2. 校验SharePoint Online权限配置 #

使用证书认证对接SPO依赖Entra ID（原Azure AD）应用注册的权限配置，需确认以下配置正确：

• 确认Entra ID应用注册已授予SharePoint的应用权限（而非委托权限），例如Sites.Selected、Sites.Manage.All等，且已点击Grant admin consent完成租户级权限授权
• 若使用Sites.Selected最小权限方案，需确认已为该应用注册分配目标SPO站点、列表的对应读写权限
• 检查目标SPO列表的独立权限设置，确认应用注册的服务主体未被列表权限拦截

3. 区分403错误的返回来源 #

403错误可能是Function入口的访问拦截，也可能是Function内部调用SPO返回的错误，需先定位错误来源：

• 在Azure Portal的Function详情页，使用测试/运行功能直接调用函数，若该场景下也返回403，可完全排除前端调用问题，错误来自Function运行环境本身
• 若Portal测试正常，优先排查前端调用逻辑：
  • 若Function开启了App Service认证（Easy Auth），需确认前端调用时携带的令牌是有权限访问Function的有效令牌，而非SPO的访问令牌
  • 排查Function代码的认证逻辑，是否存在优先读取请求头中Authorization字段作为SPO访问凭证的逻辑，导致前端带的用户令牌覆盖了代码生成的应用认证凭证
• 在Function代码中增加日志埋点，打印调用SPO接口返回的完整错误信息，进一步定位权限缺失的具体对象

4. 基础配置校验 #

• 确认Key Vault中存储的证书未过期，且证书指纹、公钥与Entra ID应用注册中上传的证书完全匹配
• 确认Azure Function部署的云环境与SPO租户所属云环境一致，不存在跨环境调用问题

内容的提问来源于stack exchange，提问作者Siraj SP Tyro