SharePoint REST API Authorization token调用报错及文档免认证方案问询

1. 「token type is not allowed」报错排查方案 #

• 确认应用权限已获取租户管理员同意：你在Azure AD中为应用配置的SharePoint应用级权限，必须点击「授予管理员同意」按钮全局生效，未经过同意的权限即使配置完成也无法正常调用接口。
• 检查Authorization请求头格式：请求接口时头信息必须符合Authorization: Bearer <获取到的token>格式，注意Bearer关键字后必须保留1个空格，不可遗漏或填写错误。
• 确认请求token时的resource参数正确：请求Access Token时的resource参数必须填写你的SharePoint租户根地址，格式为https://<你的租户名>.sharepoint.com，如果填写为Microsoft Graph等其他资源地址，获取到的token无法被SharePoint接口识别。

2. 无需用户认证访问SharePoint文档的实现方案 #

首先明确：无法通过将Authorization Token附加到文档URL的方式实现免认证访问，SharePoint服务不支持从URL查询参数中读取认证token，且token本身存在1小时有效期、泄露后容易引发数据安全风险。
可采用以下官方认可的替代方案实现需求：

• 生成匿名共享链接：在SharePoint文档的共享设置中，选择「任何人都可查看」的权限级别生成共享链接，该链接本身内置访问授权标识，用户点击即可直接访问文档，无需额外认证。
• 后端服务代理转发：由后端服务统一维护SharePoint认证token，用户访问文档时请求你的后端接口，后端携带合法token请求SharePoint获取文件流后返回给前端，用户全程不需要直接接触SharePoint地址和认证信息。
• 开启站点匿名访问：如果是对外公开的文档站点，可在SharePoint管理中心开启对应站点的匿名访问权限，该方案安全风险较高，仅适合非敏感的公开内容使用。

内容的提问来源于stack exchange，提问作者Annie