基于ASP.NET MVC(C#)实现SharePoint Online文件上传的凭据问题

这是个非常典型的生产场景需求——硬编码个人凭据不仅不安全，还会带来权限管理、账号过期等一系列棘手问题。下面给你几个企业级的可行方案，按需选择：

适合无人值守的后台任务/批量上传场景，不需要用户交互，应用自身拥有独立的权限访问SharePoint，完全脱离个人账号限制。

操作步骤： #

1. 在Azure门户注册一个Azure AD应用，记录下客户端ID和租户ID
2. 给这个应用授予SharePoint Online的应用权限（比如Sites.FullControl.All，或者更细粒度的Sites.ReadWrite.All，根据实际需求选择），并完成管理员同意
3. 生成客户端凭据：优先选择证书（更安全），也可以用客户端密钥（密码）

代码示例（客户端密钥版）： #

using Microsoft.SharePoint.Client;
using Azure.Identity;

var siteUrl = "https://yourtenant.sharepoint.com/sites/yoursite";
var clientId = "你的应用客户端ID";
var clientSecret = "你的应用客户端密钥";
var tenantId = "你的租户ID";

// 通过Azure Identity获取身份凭据
var credential = new ClientSecretCredential(tenantId, clientId, clientSecret);
var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://sharepoint.com/.default" }));

using (var context = new ClientContext(siteUrl))
{
    context.ExecutingWebRequest += (sender, e) =>
    {
        e.WebRequestExecutor.RequestHeaders["Authorization"] = $"Bearer {token.Token}";
    };

    // 执行文件上传逻辑
    var documentLibrary = context.Web.Lists.GetByTitle("你的文档库名称");
    context.Load(documentLibrary);
    context.ExecuteQuery();

    // 示例：读取本地文件并上传
    var fileBytes = System.IO.File.ReadAllBytes(@"C:\local-file-path.ext");
    var fileCreationInfo = new FileCreationInformation
    {
        Content = fileBytes,
        Url = "目标文件名.ext",
        Overwrite = true // 如果文件已存在则覆盖
    };
    var uploadedFile = documentLibrary.RootFolder.Files.Add(fileCreationInfo);
    context.Load(uploadedFile);
    context.ExecuteQuery();
}

适合需要用户主动授权的场景，用户用自己的企业账号登录后，应用以用户的权限上传文件，全程不需要存储用户密码，完全符合安全规范。

核心逻辑： #

1. 引导用户跳转到Azure AD的授权页面，获取授权码
2. 用授权码交换SharePoint的访问令牌
3. 携带令牌调用SharePoint API完成操作

代码示例（依赖Microsoft.Identity.Client库）： #

using Microsoft.SharePoint.Client;
using Microsoft.Identity.Client;

var clientId = "你的应用客户端ID";
var redirectUri = "https://localhost:5001/callback"; // 要和Azure应用注册里配置的重定向URI一致
var siteUrl = "https://yourtenant.sharepoint.com/sites/yoursite";

// 初始化MSAL客户端
var pca = PublicClientApplicationBuilder.Create(clientId)
    .WithRedirectUri(redirectUri)
    .WithTenantId("你的租户ID")
    .Build();

// 弹出登录窗口，获取用户授权后的令牌
var authResult = await pca.AcquireTokenInteractive(new[] { "https://sharepoint.com/Sites.ReadWrite.All" })
    .ExecuteAsync();

using (var context = new ClientContext(siteUrl))
{
    context.ExecutingWebRequest += (sender, e) =>
    {
        e.WebRequestExecutor.RequestHeaders["Authorization"] = $"Bearer {authResult.AccessToken}";
    };

    // 这里复用方案1的文件上传逻辑即可
}

如果你的ASP.NET MVC应用部署在Azure App Service、Azure Functions等Azure托管服务上，推荐用托管标识——完全不需要管理任何凭据，Azure会自动处理身份验证流程，安全性拉满。

操作步骤： #

1. 在Azure门户给你的App Service启用系统分配或用户分配的托管标识
2. 给这个托管标识授予SharePoint Online的相应权限（需要管理员同意）

代码示例： #

using Microsoft.SharePoint.Client;
using Azure.Identity;

var siteUrl = "https://yourtenant.sharepoint.com/sites/yoursite";

// 自动使用托管标识获取凭据
var credential = new ManagedIdentityCredential();
var token = credential.GetToken(new Azure.Core.TokenRequestContext(new[] { "https://sharepoint.com/.default" }));

using (var context = new ClientContext(siteUrl))
{
    context.ExecutingWebRequest += (sender, e) =>
    {
        e.WebRequestExecutor.RequestHeaders["Authorization"] = $"Bearer {token.Token}";
    };

    // 文件上传逻辑和前面一致
}

额外提示： #

• 遵循最小权限原则，不要给应用或用户分配超出实际需求的权限
• 优先选择证书或托管标识，比客户端密钥的安全性更高
• 尽量迁移到Azure Identity库，微软已不再推荐旧的SharePointOnlineCredentials类处理云服务身份验证

内容的提问来源于stack exchange，提问作者kabichan