Flutter应用调用Sharepoint附件URL返回401权限问题排查

在Flutter应用中尝试从SharePoint下载列表项附件时，向以下URL发送GET请求始终返回401未授权错误：

https://mytenant.sharepoint.com/sites/siteName/Lists/Disposizioni%20di%20servizio/Attachments/2/tper_Bo053.pdf

已尝试使用两种令牌：

• Graph API令牌，作用域为：openid profile offline_access Sites.Read.All Files.Read.All
• SharePoint API令牌，作用域为：https://myTenant.sharepoint.com/.default
  Azure权限已完成配置，且能正常调用API获取列表项及其附件信息，但直接请求附件URL时失败。

1. 优先使用Graph API专用下载端点 #

避免直接访问SharePoint原始附件URL，改用Microsoft Graph API的附件内容获取端点，该方式能更好地兼容令牌验证：

GET https://graph.microsoft.com/v1.0/sites/{site-id}/lists/{list-id}/items/{item-id}/attachments/{attachment-id}/content

也可通过附件名称指定：

GET https://graph.microsoft.com/v1.0/sites/{site-id}/lists/{list-id}/items/{item-id}/attachments/{attachment-name}/content

你可先通过Graph API获取附件的id或确认name，再携带有效的Graph API令牌调用上述端点完成下载。

2. 调整直接URL请求的令牌与请求头 #

若必须使用原始SharePoint附件URL，需满足以下要求：

• 使用受众为https://myTenant.sharepoint.com的令牌（即作用域为https://myTenant.sharepoint.com/.default的令牌）
• 请求头中除Authorization: Bearer {token}外，添加Accept: application/octet-stream
• 确认令牌的aud字段值为https://myTenant.sharepoint.com，而非Graph API的受众地址

3. 校验权限配置的有效性 #

• 确认Azure AD应用中授予的Sites.Read.All或Files.Read.All权限已获得管理员同意（仅用户同意可能无法访问列表附件资源）
• 验证权限的作用范围覆盖目标站点，避免权限与资源不匹配

4. 验证令牌权限字段 #

检查令牌的scp（委托权限）或roles（应用权限）字段，确认包含Sites.Read.All或Files.Read.All权限，确保令牌具备访问附件的权限范围。

内容的提问来源于stack exchange，提问作者Nicola