重写Outlook JS Add-in为VSTO插件后如何获取EWS Identity Token

核心前提 #

原Outlook JS Add-in环境下，通过Office.js内置接口可以直接返回带EWS权限的身份令牌，但C#开发的VSTO插件没有提供同款开箱API，以下实现路径完全适配插件长期常驻、后台监听用户邮件交互的运行要求，不需要额外做复杂的授权流程改造。 #

可落地实现路径 #

• 复用Outlook宿主已有的OAuth会话获取令牌，零弹窗适配现有权限体系
  VSTO和Outlook同进程运行，可以直接复用Outlook已经和Exchange Online建立好的合法会话，不需要引导用户重新完成授权流程：
  1. 从Outlook对象模型读取当前用户的SMTP地址、对应邮箱的EWS服务端点，可参考如下代码取数：

     // 插件初始化时获取当前Outlook会话的核心参数
     var currentApp = Globals.ThisAddIn.Application;
     var userSmtp = currentApp.Session.CurrentUser.AddressEntry.GetExchangeUser().PrimarySmtpAddress;
     var ewsEndpoint = currentApp.Session.DefaultProfile.ExchangeMailboxServerEWSUrl;
     

  2. 沿用原JS Add-in在Azure AD的应用注册ID，构造EWS GetClientAccessToken的标准SOAP请求，通过Outlook现有TLS通道发送请求，直接返回和JS Add-in权限范围完全一致的EWS身份令牌，不会触发UAC或者Exchange的授权弹窗。
• 采用应用级授权做令牌续期，适配后台常驻运行的稳定性要求
  因为插件需要长期在后台监听邮件读取行为，绑定Outlook前台窗口的会话容易受Outlook状态影响（比如切离线、换配置文件），可做全局令牌管理：
  1. 在同租户下完成Azure AD应用注册，配置EWS的full_access_as_app应用权限，提前完成管理员全局同意。
  2. 插件启动时通过当前用户的Windows域会话静默完成OAuth2 client_credentials模式的授权，拿取有效期72天的长期令牌，本地做自动续期逻辑，哪怕Outlook最小化进入后台，只要域会话有效就能正常刷新令牌。
• 常见避坑提醒
  • 不要使用基本认证方式调用EWS拿权限，当前Exchange Online已经全量关停基本认证通道，所有请求会被直接拦截。
  • 不要自行模拟用户密码登录拿EWS令牌，容易触发Exchange Online的异常登录检测，甚至导致用户邮箱被临时锁定。
  • 令牌管理逻辑要做成全局单例，不要绑定具体的Outlook Explorer、Inspector窗口对象，避免窗口关闭导致令牌上下文丢失。

内容的提问来源于stack exchange，提问作者Guido