如何通过微软Office桌面应用将Okta身份验证令牌传递到WebDAV服务器

微软Office桌面应用默认使用旧版MSDAIPP WebDAV协议栈发起资源请求，该协议栈不支持现代OAuth/OIDC的302重定向认证流程，因此负载均衡层返回的Okta登录重定向会被直接拦截，不会触发弹窗，最终请求因无有效身份凭证被拒绝，导致文档加载失败。

方案1：User-Agent规则适配 + 本地凭证存储 #

• 首先在Okta Authorizer的访问规则中新增Office请求的特殊判断：匹配User-Agent中包含Microsoft Office、MSDAIPP、Word、Excel、PowerPoint等关键字的请求，暂时跳过自动重定向校验逻辑，仅校验请求头或Cookie中是否携带有效身份凭证
• 要求用户首次访问WebDAV站点时先通过浏览器完成Okta身份验证，将获取到的Okta访问令牌存入本地系统凭证存储区：Windows端写入「凭据管理器」的Web凭据分类，Mac端写入「钥匙串访问」对应站点的密码条目，Office发起WebDAV请求时会自动读取对应站点的存储凭证，以Authorization: Bearer <token>头的形式自动携带
• 可根据业务需要调整Okta令牌的有效期，最长可设置为30天，避免用户频繁重新验证

方案2：启用Office现代身份验证 + Okta SAML集成 #

• 仅支持Office 2013及以上版本，首先全局开启Office现代身份验证：
  Windows端修改注册表：

  [HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity]
  "EnableADAL"=dword:00000001
  

  Mac端执行终端命令：

  defaults write com.microsoft.office EnableADAL -bool true
  

• 在Okta后台新增桌面Office的SAML集成应用，配置你的WebDAV域名作为可信SP地址，Office发起未认证的WebDAV请求时会自动触发内置的现代认证弹窗，用户完成Okta登录后，凭证会自动注入后续所有WebDAV请求中，无需手动配置

方案3：持久化会话Cookie透传 #

• Office客户端发起同域WebDAV请求时会自动携带浏览器生成的持久化Cookie，你可以在用户首次通过浏览器完成Okta验证后，将Okta会话Cookie的属性设置为Secure、HttpOnly、SameSite=None，并将有效期调整为7~30天
• Okta Authorizer会自动识别请求中携带的有效会话Cookie直接放行，不需要额外的身份校验

注意：所有方案都需要先在测试环境验证规则准确性，避免误放行未授权请求，同时严格限制令牌、会话Cookie的权限范围，仅授予WebDAV访问所需的最小权限，降低安全风险

内容的提问来源于stack exchange，提问作者RV7