使用CSOM应用仅上下文创建SharePoint现代页面时遇“Access Denied”

在Azure Function的应用仅上下文中使用SharePoint CSOM，尝试在SharePoint Online站点的SitePages库创建现代页面。已为应用注册授予Sites.FullControl.All应用权限且获得管理员同意，但执行代码时触发权限拒绝异常。

相关代码 #

public async Task<NewsData> CreateNewsAsync(NewsModel newsModel)
{
    var web = _ctx.Web;
    var pages = web.GetList("/sites/contoso-dev/SitePages");

    _ctx.Load(web);
    _ctx.Load(pages);
    await _ctx.ExecuteQueryAsync();

    var fileCreationInfo = new FileCreationInformation
    {
        Url = newsModel.Url, // 示例: "test-page.aspx"
        Content = System.Text.Encoding.UTF8.GetBytes(" "),
        Overwrite = true
    };

    var newFile = pages.RootFolder.Files.Add(fileCreationInfo);
    _ctx.Load(newFile);
    _ctx.Load(newFile.ListItemAllFields);
    await _ctx.ExecuteQueryAsync(); // <-- 此处触发Access Denied
}

报错信息 #

Microsoft.SharePoint.Client.ServerUnauthorizedAccessException: Access Denied.

预期文件能成功创建并可设置元数据，但请求失败，库中无任何内容生成。

疑问 #

1. 这是否由站点级的DisableCustomAppAuthentication标志导致？
2. 使用应用仅上下文通过CSOM创建现代页面的正确方式是什么？
3. 是否遗漏了任何必需的请求头、属性或字段？

1. 关于DisableCustomAppAuthentication标志的影响 #

是，这个站点级设置大概率是核心原因。当DisableCustomAppAuthentication设为true时，会直接阻止使用客户端ID/密钥的应用仅上下文访问站点，哪怕已授予全局权限。

可以通过PowerShell检查并修改该设置：

# 连接到目标站点
Connect-PnPOnline -Url "https://contoso.sharepoint.com/sites/contoso-dev" -Interactive

# 查看当前设置状态
Get-PnPSite -Includes DisableCustomAppAuthentication

# 若为true则修改为false
Set-PnPSite -DisableCustomAppAuthentication $false

2. 应用仅上下文创建现代页面的正确方式 #

直接创建空白.aspx文件无法生成符合要求的现代页面，必须依赖SharePoint内置的页面模板来创建，具体步骤如下：

public async Task<NewsData> CreateNewsAsync(NewsModel newsModel)
{
    var web = _ctx.Web;
    var pagesList = web.GetList("/sites/contoso-dev/SitePages");
    
    // 获取现代新闻页面的系统模板
    var templateFile = web.GetFileByServerRelativeUrl("/sites/contoso-dev/SitePages/Templates/News.aspx");
    _ctx.Load(templateFile);
    await _ctx.ExecuteQueryAsync();

    // 基于模板创建标准现代页面
    var newPage = pagesList.RootFolder.Files.AddTemplateFile(
        $"/sites/contoso-dev/SitePages/{newsModel.Url}", 
        TemplateFileType.ClientSidePage);
    
    _ctx.Load(newPage);
    _ctx.Load(newPage.ListItemAllFields);
    await _ctx.ExecuteQueryAsync();

    // 设置页面元数据（比如标题、标记为新闻）
    var pageItem = newPage.ListItemAllFields;
    pageItem["Title"] = newsModel.Title;
    pageItem["PromotedState"] = 2; // 标记为新闻页面（1为普通页面，2为新闻）
    pageItem.Update();
    await _ctx.ExecuteQueryAsync();

    return new NewsData { Id = pageItem.Id, Url = newPage.ServerRelativeUrl };
}

3. 必需的配置与注意事项 #

• 权限验证：确保应用权限已正确授予，管理员同意的范围覆盖目标站点（全局Sites.FullControl.All权限足够）。
• ClientContext初始化：应用仅上下文必须用应用ID和密钥初始化ClientContext，CSOM会自动处理认证头，无需手动添加：

  var ctx = new ClientContext("https://contoso.sharepoint.com/sites/contoso-dev");
  var securePassword = new SecureString();
  foreach (char c in "你的应用密钥") securePassword.AppendChar(c);
  ctx.Credentials = new SharePointOnlineCredentials("你的应用ID@contoso.onmicrosoft.com", securePassword);
  

• 页面类型要求：必须使用TemplateFileType.ClientSidePage创建现代页面，直接创建空白文件会被SharePoint拦截，且不符合现代页面的结构规范。
• 其他站点限制：检查站点是否开启了额外的访问限制策略，确保应用账户未被站点权限列表排除。

内容的提问来源于stack exchange，提问作者Giacomo Ciulx