在 C# 中访问 SharePoint 的最佳方式是什么

Question

我正在更新我 2-3 年前用 C# 制作的 Excel 补充。目标是获取一些存储在 SharePoint 站点上的文件，将它们复制到本地，然后打开它们。 我有权访问 SharePoint 站点，但我对 SharePoint 的设置没有管理员权限（它由我们的 IT 服务运行，公司安全性在数据保护方面很严格）。 我们使用MFA登录我们的Windows session，之后就可以访问SharePoint等服务，无需再次输入密码。 到目前为止，我已经使用了下面的代码，它仍然可以完美运行：

using Microsoft.SharePoint.Client;
using OfficeDevPnP.Core;

string tempFileName = System.IO.Path.GetTempPath() + "filename.xlsx";

AuthenticationManager mgr = new AuthenticationManager();
ClientContext context = mgr.GetWebLoginClientContext("https://xxx.sharepoint.com/teams/mypage");
FileInformation fileinfo = File.OpenBinaryDirect(context, "ServerRealtivePath");
context.ExecuteQuery();

System.IO.FileStream fStream = new System.IO.FileStream(tempFileName, System.IO.FileMode.Create);
await fileinfo.Stream.CopyToAsync(fStream);
fStream.Close();
fileinfo.Stream.Close();

那么，为什么要尝试修复未损坏的东西……呢？ 包含 OfficeDevPnP NameSpace 的 NuGet package SharePointPnPCoreOnline 现已标记为已停用，建议改用 PnPFramework。 但是 PnPFramework 不包含 AuthenticationManager.GetWebLoginClientContext() 方法。 随着对数据保护和新技术的需求不断增长，我预计当前的方法将在某个时候停止工作。 您是否有使用更现代的方式连接到 sharepoint 的等效方法？

我没有使用 Azure 注册该应用程序的任何权限，我猜这将是我们 IT 服务的一个很大的拒绝。 如果需要，我不介意要求用户在某个时候输入他的登录名。 我从未使用过 REST 或 GRAPH API，但如果有帮助，我可以调查一下。 我想要基于当前用户权限访问文件的权利。 如果用户没有访问指定文件的权限，我不希望应用能够下载它。

我愿意接受建议，谢谢

Answer 1

对于我的工具，我刚刚修改了GetWebLoginClientContext中的代码， 它既不大也不复杂。 这也是它的更新版本。 那么，里面有什么：带有 web 浏览器控件（基于 Inte.net Explorer）的简单表单。 当浏览器控件对用户进行身份验证时，代码使用平台 web 浏览器 API 从浏览器控件获取身份验证 cookies，并在后续调用 SharePoint 时使用它。

此处可能出现的问题：Inte.net Explorer（以及浏览器控件）已被弃用，对它的支持已于去年结束。 如果身份验证 window 在从浏览器控件打开时停止工作，那将是一个问题。 我已经通过使用 WebView2 而不是浏览器控件为自己“修复”了该问题，并且由于它是常青树，所以应该没问题。 它还提供了API来得到cookies，我们需要调用SharePoint。

我不认为 cookie 身份验证的方法本身是一个问题，但他们可能有一天会更改 cookies 然后如果发生这种情况，应用程序可能需要相应地更新。

一种更“稳健”的方法是无论如何都要在公元 Azure 年注册一个应用程序（实际上，您绝对不必要求管理员注册该应用程序，您可以在自己的“组织”中为自己注册一个，而无需询问任何人） .

使用这种方法，用户必须同意使用该应用程序（以允许该应用程序访问组织中的数据）。 可能需要管理员同意，但这取决于组织设置（默认情况下不需要，用户同意就足够了）。

请注意，使用“应用程序”连接实际上更安全，因为当您授予对应用程序的访问权限时，您只授予它特定的权限（即您获得用户权限和授予该应用程序的权限的交集）。 当以用户身份连接时（即使用上面的“cookies”方法），您将获得完全访问权限（即您可以做用户可以做的任何事情）。

还有一点，对于应用程序，您实际上不必在 web 上构建任何东西（实际上不需要网站）； 获取访问令牌的“回调 url”可以托管在应用程序本身（本地主机）中，或者可以将应用程序配置为使用设备代码。