多租户Teams个人Tab集成SharePoint认证及跳转问题咨询

先解决你遇到的SharePoint API 401错误，这个是最直接的问题：

那个AudienceUriValidationFailedException错误明确告诉你——你用的Token受众不对。你现在用的是idToken，但idToken是用来验证用户身份的，不是用来调用API的！SharePoint REST API需要的是针对SharePoint资源的Access Token，而且这个Token的aud（受众）字段必须是SharePoint的资源ID（比如https://yourtenant.sharepoint.com），而不是你的Azure AD应用的客户端ID。

修复API调用的步骤： #

• 替换Token类型：停止使用idToken，改为请求针对SharePoint的Access Token。如果用MSAL.js（推荐的认证库），请求Token时要指定正确的scope，比如针对站点读取的委派权限：https://yourtenant.sharepoint.com/Sites.Read.All，或者应用权限用https://yourtenant.sharepoint.com/.default。
• 验证Token受众：拿到Token后，解码查看aud字段是否是你的SharePoint租户域名。如果不是，说明请求Token时的scope/resource参数配置错误。
• 检查权限配置：
  • 若用用户上下文调用API（委派权限）：确保Azure AD应用里添加了SharePoint的委派权限（比如Sites.Read.All），并且用户已同意该权限（或管理员预先做了全局同意）。
  • 若为后台服务调用（应用权限）：必须添加SharePoint的应用权限，并且必须由管理员授予同意（用户无法自行同意应用权限）。

再解决Teams Tab中无法加载SharePoint页面的跨域问题：

Teams对Tab的iframe有严格的域名白名单限制，你没法把动态生成的SharePoint URL提前加到应用的validDomains里，所以直接在iframe里加载肯定会被阻止。

正确的解决方案： #

不要用iframe加载，而是用Teams SDK提供的Deep Link功能，让Teams客户端直接打开SharePoint页面：

// 先初始化Teams SDK
microsoftTeams.initialize();

// 拿到自定义服务返回的SharePoint URL后，调用这个方法
microsoftTeams.executeDeepLink(yourSharePointUrl);

这个方法会让Teams在主界面或者新标签页打开SP页面，完全规避iframe的跨域限制，体验也更符合Teams的用户习惯。

关于CORS的补充说明： #

你当前的401错误不是CORS问题——CORS错误会在浏览器控制台里显示类似"Blocked by CORS policy"的提示，而不是返回401。如果后续解决了Token问题后遇到CORS报错，再去配置SharePoint的CORS策略：
用PowerShell执行Set-PnPTenantCorsPolicy命令，把你的静态页面域名加入允许列表：

Set-PnPTenantCorsPolicy -AllowedOrigins @("https://your-azure-storage-domain.z22.web.core.windows.net")

注意：SharePoint的CORS不支持通配符，只能指定具体的域名。

内容的提问来源于stack exchange，提问作者devil_inside