如何为Microsoft Office配置自定义OAuth2授权服务器以支持WebDAV文件直接访问

兄弟，我之前在做自定义WebDAV服务器对接Office OAuth2的时候，也踩过一模一样的坑！你的问题核心出在WWW-Authenticate响应头的格式上，Office的OAuth2客户端对这个头的要求特别“挑剔”，差一点都不会触发授权流程。

先给你拆解下当前的问题：你返回的响应头是WWW-Authenticate: Bearer authorization_uri="https://my.auth"，这里有两个关键错误：

• Office只认authorization_url这个参数名，而不是你用的authorization_uri
• 你用了HTML转义的"，Office的客户端解析不了这个，必须直接用普通的双引号

接下来给你一步步讲怎么修正：

1. 修正401响应的WWW-Authenticate头格式 #

这是最关键的一步，必须严格按照Office的要求返回：
正确的响应头应该是：

WWW-Authenticate: Bearer authorization_url="https://my.auth"

重点再强调：参数名是authorization_url，不是authorization_uri，双引号直接用，不要转义。只要这个头对了，Office才会触发跳转到你的授权页面的逻辑。

2. 确保授权服务器符合Office的OAuth2要求 #

Office的WebDAV客户端只支持授权码流程，不支持隐式授权流程，所以你的授权服务器必须：

• 实现标准的OAuth2授权码流程，授权页面要能正常接收Office自动传递的redirect_uri参数
• 授权成功后返回的access_token必须是Bearer类型，有效期建议设置在1小时以上，Office会缓存令牌，太短会频繁触发重新授权
• 确保授权服务器的HTTPS证书是可信的（不能用自签名证书，除非你把证书导入到Windows的受信任根证书颁发机构），Office会直接拒绝访问不安全的端点

3. 测试并清理Office的缓存 #

如果之前有错误的配置，Office可能会缓存错误状态，导致修正后也不生效，你可以这么做：

• 关闭所有Office应用程序
• 打开Windows的「凭据管理器」（可通过控制面板或搜索栏找到），删除所有和你的WebDAV服务器相关的凭据
• 用curl模拟Office的请求，验证资源服务器的401响应是否正确：

  curl -I -X PROPFIND https://my.resource/myfile -H "Authorization: Bearer"
  

  检查响应头里的WWW-Authenticate是否完全符合要求

4. 额外踩坑提示 #

• Office的WebDAV客户端在第一次访问或令牌过期时，会发送带空值的Authorization: Bearer头，你的资源服务器必须识别这种情况，返回401和正确的WWW-Authenticate头，不能直接返回其他错误
• 资源服务器和授权服务器的域名可以相同，但必须确保HTTPS配置正常，没有证书警告

按照上面的步骤改完之后，你再测试应该就能看到Office跳转到你的授权页面了，而不是直接显示错误。

备注：内容来源于stack exchange，提问作者Nico Schertler