C#通过Client ID/Secret认证调用SharePoint API携带Access Token报401问题

代码逻辑硬伤 #

• 对返回的Access Token做了不必要的二次Base64编码
  从微软登录端点拿到的access_token本身就是可直接用于鉴权的JWT格式成品字符串，代码中额外执行Encoding.UTF8.GetBytes() + Convert.ToBase64String()的转码操作，直接破坏了Token的原始结构，是触发Token contains invalid signature报错的核心原因。鉴权头中只需要直接拼接原始返回的access_token即可，无需任何转码处理。
• 认证请求的表单参数配置错误
  手动把Content-Type加入了提交的表单字典中，FormUrlEncodedContent会自动为请求设置正确的application/x-www-form-urlencoded请求头，多余的表单字段不会被端点识别，属于冗余无效配置。

配套配置排查项 #

• 核对申请Token时传入的Scope参数
  采用Client Credentials模式对接SharePoint Online REST API时，Scope必须配置为https://<你的租户SharePoint域名>/.default。如果Scope错配为Graph API权限、委托类权限，拿到的Token受众与SharePoint端点不匹配，就会触发Unsupported security token类报错。
• 核对Azure AD应用的权限授权状态
  确认应用注册时为SharePoint Online添加的是应用程序权限（而非用户委托权限），且权限已经完成全局管理员的同意授权。
• 核对目标站点的权限绑定
  即使Azure侧权限配置正确，也需要在目标SharePoint站点的权限设置中，为该注册应用对应的服务主体分配可访问的权限，否则依然会返回401未授权。

可参考的修正后代码 #

var authUri = $"https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token";
var httpClient = new HttpClient();

var formParams = new Dictionary<string, string>
{
    ["grant_type"] = "client_credentials",
    ["client_id"] = clientId,
    ["client_secret"] = clientSecret,
    // 替换为对应租户的SharePoint域名为前缀的scope
    ["scope"] = "https://myorg.sharepoint.com/.default"
};

var tokenResponse = await httpClient.PostAsync(authUri, new FormUrlEncodedContent(formParams));
var tokenResultStr = await tokenResponse.Content.ReadAsStringAsync();

// 反序列化Token响应
var serializer = new DataContractJsonSerializer(typeof(AccessToken));
using (var stream = new MemoryStream(Encoding.UTF8.GetBytes(tokenResultStr)))
{
    var tokenObj = (AccessToken)serializer.ReadObject(stream);
    
    // 发起SharePoint API调用
    var apiUri = "https://myorg.sharepoint.com/sites/crmkb/_api/web/lists";
    var request = (HttpWebRequest)WebRequest.Create(apiUri);
    // 直接使用原始Token，不做任何转码
    request.Headers.Add(HttpRequestHeader.Authorization, $"Bearer {tokenObj.access_token}");
    request.Method = "GET";
    // 兼容SharePoint REST接口的默认响应格式要求
    request.Accept = "application/json;odata=verbose";
    
    var response = (HttpWebResponse)request.GetResponse();
}

补充说明：调用SharePoint Online REST接口时，主动指定Accept响应头为application/json;odata=verbose，可避免因默认响应格式不匹配触发的额外报错。

内容的提问来源于stack exchange，提问作者lateralus