Python实现开启MFA的SharePoint站点用户凭证校验方案咨询

错误原因 #

你遇到的AADSTS50076报错是SharePoint所在租户启用多因素认证（MFA）后的标准安全限制：微软默认禁用了直接使用用户名+密码的密码凭证流（ROPC）获取访问令牌，因此你原来的认证代码无法生效。

可行解决方案 #

你需要的「校验用户自身凭证是否可访问站点」的需求可以通过以下两种方式实现：

方案1：设备授权流（推荐，支持MFA交互） #

该方案是微软为无浏览器/桌面场景设计的标准用户认证流程，完全兼容MFA策略，不需要存储用户密码，安全合规。
操作步骤：

1. 在Azure AD后台注册公共客户端应用，开启「允许公共客户端流」开关，为应用配置SharePoint对应的委派权限，并由租户管理员授予权限同意，不需要生成客户端密钥。
2. 使用msal库实现设备流认证，示例代码如下：

# 先安装依赖：pip install msal
import msal

# 替换为你自己的配置参数
CLIENT_ID = "Azure注册应用的客户端ID"
TENANT_ID = "租户ID"
SITE_SCOPE = ["https://<你的租户域名>.sharepoint.com/.default"]

app = msal.PublicClientApplication(
    CLIENT_ID, 
    authority=f"https://login.microsoftonline.com/{TENANT_ID}"
)

# 发起设备授权流程
flow = app.initiate_device_flow(scopes=SITE_SCOPE)
if "user_code" not in flow:
    print("授权流程启动失败")
    exit()

# 提示用户完成MFA认证
print(f"请访问地址 {flow['verification_uri']}，输入验证码 {flow['user_code']} 完成登录")
auth_result = app.acquire_token_by_device_flow(flow)

if "access_token" in auth_result:
    print("用户凭证校验通过，可访问站点")
    # 可使用返回的access_token调用SharePoint接口验证具体权限
else:
    print(f"访问被拒绝，错误信息：{auth_result.get('error_description')}")

方案2：应用权限+后台权限校验 #

如果你的场景不需要用户交互，只需要后台校验指定用户是否有站点权限，可以使用client_id+client_secret的应用权限方案，再调用接口查询用户的站点权限：
操作步骤：

1. 在Azure AD后台注册应用，配置SharePoint的应用级权限（如Sites.Read.All或更高权限），由租户管理员授予权限同意，生成客户端密钥。
2. 示例代码如下：

# 先安装依赖：pip install Office365-REST-Python-Client
from office365.sharepoint.client_context import ClientContext
from office365.runtime.auth.client_credential import ClientCredential

# 替换为你自己的配置参数
CLIENT_ID = "Azure注册应用的客户端ID"
CLIENT_SECRET = "应用客户端密钥"
SITE_URL = "SharePoint站点地址"
CHECK_USER_EMAIL = "要校验权限的用户邮箱"

# 应用身份认证
ctx = ClientContext(SITE_URL).with_credentials(ClientCredential(CLIENT_ID, CLIENT_SECRET))

# 查询用户的站点有效权限
web = ctx.web
target_user = web.ensure_user(CHECK_USER_EMAIL)
user_permissions = web.get_effective_permissions(target_user.id)
ctx.execute_query()

# 校验是否有基础访问权限，可根据需求替换为其他权限类型
if user_permissions.has(web.permission_kind.ViewPages):
    print(f"用户{CHECK_USER_EMAIL}具备站点访问权限")
else:
    print(f"用户{CHECK_USER_EMAIL}无站点访问权限")

注意：该方案的应用权限级别较高，需要妥善保管客户端密钥，避免泄露。

内容的提问来源于stack exchange，提问作者Krikell96