使用C#从byte[]上传文件至SharePoint Online时遇权限拒绝错误

既然你手动操作完全正常，且确认用户权限足够，那这个"Access denied"错误大概率不是用户权限本身的问题，而是代码里的认证方式、API调用细节或者路径处理出了问题。我给你梳理几个最可能的排查方向：

1. 优先检查认证方式是否合规 #

旧的SharePointOnlineCredentials（基于用户名密码）在很多现代租户环境下会出问题，尤其是如果账号启用了MFA或者租户有条件访问策略的话。建议换成更可靠的现代认证方式：

推荐方案：用PnP Framework简化认证 #

PnP已经封装了完善的现代认证逻辑，支持MFA、Client Credentials等多种场景：

using PnP.Core.Services;
using PnP.Framework;

// 初始化认证管理器（示例：交互式认证，支持MFA）
var authManager = new AuthenticationManager();
using (var context = authManager.GetContext(sp.SiteUrl))
{
    // 获取目标文件夹
    var list = context.Web.Lists.GetByTitle("你的文档库名称");
    var targetFolder = list.RootFolder.Folders.GetByUrl(folderName);
    context.Load(targetFolder);
    context.ExecuteQuery();

    // 上传文件
    var fileCreationInfo = new FileCreationInformation
    {
        Content = fileContent,
        Url = $"{targetFolder.ServerRelativeUrl}/{fileNameWithExtension}",
        Overwrite = true
    };
    var uploadedFile = targetFolder.Files.Add(fileCreationInfo);
    context.Load(uploadedFile);
    context.ExecuteQuery();

    result = true;
}

如果用Client Credentials（应用权限），需要先在Azure AD注册应用，授予Sites.ReadWrite.All权限，然后用以下方式认证：

var authManager = new AuthenticationManager("你的租户ID", "你的应用ID", "你的应用密钥");
using (var context = authManager.GetContext(sp.SiteUrl))
{
    // 上传逻辑同上
}

2. 确认文件夹路径是否正确 #

错误的文件夹路径经常会被系统返回权限错误（误导性提示），你需要：

• 确保folderName是相对于文档库根目录的路径，比如"Shared Documents/MyUploadFolder"，而不是绝对URL或者站点根路径。
• 在代码里先验证文件夹是否存在，如果不存在先创建，避免因找不到文件夹导致的报错：

// 检查文件夹是否存在，不存在则创建
var folderExists = context.Web.GetFolderByServerRelativeUrl($"/sites/你的站点名/你的文档库/{folderName}").Exists;
if (!folderExists)
{
    list.RootFolder.Folders.Add(folderName);
    context.ExecuteQuery();
}

3. 检查API权限范围（如果用Graph API） #

如果你的代码是通过Microsoft Graph API上传文件，需要确认：

• Azure AD应用注册的权限是否包含Delegated权限（Files.ReadWrite.All或Sites.ReadWrite.All），并且已登录用户拥有对应权限；
• 如果是应用权限，必须由管理员授予管理员同意，否则会出现权限拒绝。

4. 排查MFA/条件访问限制 #

如果你的用户账号启用了MFA，传统的用户名密码认证（SharePointOnlineCredentials）会直接失败，必须用支持MFA的认证方式（比如交互式登录、设备码流）。另外，检查租户的条件访问策略是否限制了非交互式的API请求（比如只允许特定IP或设备访问），这也会导致代码请求被拦截，返回权限错误。

最后验证小技巧 #

可以先写一段极简的测试代码，只做最基础的上传操作，排除业务逻辑干扰。比如直接上传到文档库根目录，看是否能成功——如果能，那问题大概率出在文件夹路径处理上；如果还是失败，那肯定是认证或权限配置的问题。

内容的提问来源于stack exchange，提问作者user576510