使用C# WebClient从SharePoint Online下载文档突然失效

嘿，遇到用了好几年的代码突然报401 Unauthorized确实闹心，尤其是刚好卡在5月8日这个时间点，大概率和微软的服务更新或者租户配置变动有关。我整理了几个最可能的原因和排查步骤，你可以逐个验证：

1. 旧身份验证机制被微软停用 #

Microsoft最近一直在逐步淘汰SharePoint Online的旧认证方式，比如基于SharePointOnlineCredentials的认证可能已经被纳入停用范围，刚好在5月8日触发了封堵。这种方式依赖的是传统的Forms-Based Auth，现在SPO更倾向于OAuth 2.0或者Microsoft Graph API的认证流程。

解决建议：

• 替换成使用最新版的SharePoint CSOM（Client Side Object Model）来处理文件下载，CSOM现在已经适配了新的认证机制，甚至支持MFA账号。
• 如果不想改太多代码，也可以尝试先通过MSAL库获取OAuth Bearer Token，然后把Token添加到WebClient的请求头里，代替原来的Credentials配置：

  // 先通过MSAL获取SPO的访问令牌
  string accessToken = GetSharePointAccessToken();
  webClient.Headers.Add("Authorization", $"Bearer {accessToken}");
  // 移除原来的X-FORMS_BASED_AUTH_ACCEPTED头和Credentials设置
  

2. 账号启用了MFA或密码/安全策略变动 #

如果你的账号在5月8日前后开启了多因素认证（MFA），或者密码过期重置，那么SharePointOnlineCredentials这种仅支持单密码的认证方式就会直接失效，返回401。另外，租户管理员可能启用了安全默认值，强制所有账号使用MFA，也会导致旧认证方式失效。

解决建议：

• 检查账号的MFA状态，如果已经开启，必须使用支持MFA的认证方式：
  • 对于交互式应用，可以用CSOM的AuthenticationManager弹出登录窗口完成MFA认证；
  • 对于后台服务应用，建议创建应用程序权限（客户端凭证流），通过客户端ID和密钥获取Token，不需要用户交互。
• 确认密码是否过期，尝试手动登录SPO网站验证账号可用性。

3. 请求头或WebClient的默认行为不符合SPO新要求 #

微软可能调整了SPO的请求校验规则，原来的X-FORMS_BASED_AUTH_ACCEPTED: f头可能不再满足要求，或者WebClient的默认User-Agent被识别为旧客户端而被拦截。

解决建议：

• 给WebClient添加一个现代浏览器的User-Agent头：

  webClient.Headers.Add("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36");
  

• 用抓包工具（比如Fiddler）捕获完整的请求和响应，查看401响应的WWW-Authenticate头里的详细提示，这能帮你定位到底是哪种认证方式被拒绝了。

4. 租户级别的安全策略更新 #

你的Office 365租户管理员可能在5月8日左右更新了条件访问规则或者App Control for Office 365设置，比如限制了旧客户端应用访问SPO，或者要求设备必须合规才能访问。

解决建议：

• 联系租户管理员，检查最近的安全策略变动，确认你的应用或账号是否被允许访问SharePoint Online资源。
• 确认是否有条件访问规则阻止了非现代认证的请求。

替代代码示例（使用最新CSOM） #

如果你决定切换到CSOM，这里有一个基础的下载文件示例，支持MFA账号：

using Microsoft.SharePoint.Client;
using System.Security;
using System.IO;

var siteUrl = "https://yourtenant.sharepoint.com/sites/yourSite";
var username = "yourAccount@yourtenant.com";
var password = "yourPassword";

// 处理密码
var securePassword = new SecureString();
foreach (char c in password) securePassword.AppendChar(c);

using (var context = new ClientContext(siteUrl))
{
    // 非MFA账号用这个
    context.Credentials = new SharePointOnlineCredentials(username, securePassword);

    // 如果是MFA账号，替换成下面的认证方式
    // var authManager = new AuthenticationManager();
    // context = authManager.GetWebLoginClientContext(siteUrl);

    // 获取文件
    var file = context.Web.GetFileByServerRelativeUrl("/sites/yourSite/Shared Documents/yourFile.docx");
    context.Load(file);
    context.ExecuteQuery();

    // 下载文件流
    var fileStream = file.OpenBinaryStream();
    context.ExecuteQuery();

    // 保存到本地
    using (var localStream = File.Create(@"D:\Downloads\yourFile.docx"))
    {
        fileStream.Value.CopyTo(localStream);
    }
}

内容的提问来源于stack exchange，提问作者M. Rob