使用PnP PowerShell授予权限上传文件至SharePoint时遭遇401未授权错误求助

看起来你已经走完了应用注册和权限配置的大部分流程，但卡在了最后一步的文件上传权限验证上，我来帮你梳理几个常见的排查点和解决办法：

一、先确认站点级权限是否真的授予成功 #

你用了Grant-PnPAzureADAppSitePermission命令，但可能存在参数配置不全或者生效延迟的情况：

• 执行Get-PnPAzureADAppSitePermission -AppId $Sites_FullAccess_App_ID命令，查看返回结果里是否有你的应用，并且权限级别是FullControl、作用域是Site（如果你的目标库在站点根目录，Site级权限就足够）。
• 如果返回结果里没有你的应用，重新执行授予命令时要补全关键参数，比如：

  Grant-PnPAzureADAppSitePermission -AppId $Sites_FullAccess_App_ID -Permissions FullControl -Scope Site -SiteUrl "你的目标站点URL"
  

  注意必须指定-SiteUrl明确目标站点，否则可能会把权限授予到默认站点而非你要操作的站点。

二、检查证书相关的配置细节 #

自签名证书是应用身份验证的核心，这里很容易出细节问题：

• 确认你运行PowerShell的机器上，证书的私钥已经正确安装在当前用户\个人\证书或本地计算机\个人\证书存储中，并且证书没有过期。
• 检查Connect-PnPOnline命令是否正确传入了证书指纹和租户信息，完整的连接命令应该类似：

  Connect-PnPOnline -Url "你的目标站点URL" -ClientId $Sites_FullAccess_App_ID -Thumbprint "你的证书指纹" -Tenant "你的租户域名.onmicrosoft.com"
  

  缺少-Tenant参数可能导致身份验证时找不到正确的租户上下文。

三、确认应用级权限的管理员同意是否真的生效 #

虽然你说已经批准了Sites.FullControl.All权限，但要注意两个关键点：

• 这个权限是应用权限，必须由全局管理员点击“授予管理员同意”（不是用户同意），你可以去Azure AD应用注册的「API权限」页面，确认该权限旁边显示“已授予 [你的租户名] 的管理员同意”。
• 有时候管理员同意会有10-15分钟的生效延迟，如果你刚操作完就测试，可能需要等一会再试。

四、排查连接上下文和上传命令的参数 #

• 先执行Disconnect-PnPOnline -ErrorAction SilentlyContinue断开所有现有连接，再重新用正确的参数执行Connect-PnPOnline，避免残留的旧上下文干扰。
• 检查Add-PnPFile的-Folder参数是否指向目标站点下存在的库路径，比如-Folder "Shared Documents"，如果路径写错（比如不存在的子文件夹），也可能触发权限类错误（虽然通常是404，但偶尔会被系统误判为401）。

测试用完整脚本示例 #

你可以用下面的完整脚本重新测试，确保每一步都正确：

# 替换为你的实际参数
$TargetSiteUrl = "https://你的租户.sharepoint.com/sites/你的目标站点"
$AppId = "19ef4773-433b-46ac-9859-865824293acd"
$CertThumbprint = "你的证书指纹"
$TenantDomain = "你的租户域名.onmicrosoft.com"
$LocalFilePath = "C:\test.txt"
$TargetFolder = "Shared Documents"

# 断开旧连接
Disconnect-PnPOnline -ErrorAction SilentlyContinue

# 连接目标站点
Connect-PnPOnline -Url $TargetSiteUrl -ClientId $AppId -Thumbprint $CertThumbprint -Tenant $TenantDomain

# 检查并授予站点权限
$existingPermission = Get-PnPAzureADAppSitePermission -AppId $AppId
if (-not $existingPermission) {
    Write-Host "正在为应用授予站点权限..."
    Grant-PnPAzureADAppSitePermission -AppId $AppId -Permissions FullControl -Scope Site -SiteUrl $TargetSiteUrl
} else {
    Write-Host "应用已拥有站点权限：" $existingPermission.Permissions
}

# 尝试上传文件
try {
    Add-PnPFile -Path $LocalFilePath -Folder $TargetFolder
    Write-Host "文件上传成功！"
} catch {
    Write-Host "上传失败，错误信息：" $_.Exception.Message
}

如果以上步骤都排查过还是出现401错误，你可以去Azure AD的「审核日志」里搜索你的应用ID，查看身份验证失败的具体原因（比如证书验证失败、令牌缺失必要声明等），这会帮你定位更隐蔽的问题。

备注：内容来源于stack exchange，提问作者wilson_smyth