Microsoft Teams

​

内置插件

openclaw plugins install @openclaw/msteams

openclaw plugins install ./path/to/local/msteams-plugin

​

快速设置

npm install -g @microsoft/teams.cli@preview
teams login
teams status   # 验证你已登录并查看租户信息

# 一次性设置（跨会话保持 URL 不变）：
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# 每次开发会话：
devtunnel host my-openclaw-bot
# 你的端点：https://<tunnel-id>.devtunnels.ms/api/messages

teams app create \
  --name "OpenClaw" \
  --endpoint "https://<your-tunnel-url>/api/messages"

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<CLIENT_ID>",
      appPassword: "<CLIENT_SECRET>",
      tenantId: "<TENANT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

teams app get <teamsAppId> --install-link

teams app doctor <teamsAppId>

​

目标

• 通过 Teams 私信、群聊或频道与 OpenClaw 对话。
• 保持确定性路由：回复始终返回其来源频道。
• 默认采用安全的频道行为（除非另有配置，否则必须提及）。

​

配置写入

{
  channels: { msteams: { configWrites: false } },
}

​

访问控制（私信 + 群组）

• 默认值：channels.msteams.dmPolicy = "pairing"。未知发送者在获得批准前会被忽略。
• channels.msteams.allowFrom 应使用稳定的 AAD 对象 ID 或静态发送者访问组，例如 accessGroup:core-team。
• 请勿依赖 UPN/显示名称匹配来配置允许列表；它们可能发生变化。OpenClaw 默认禁用直接名称匹配；可通过 channels.msteams.dangerouslyAllowNameMatching: true 选择启用。
• 在凭据允许的情况下，向导可通过 Microsoft Graph 将名称解析为 ID。

• 默认值：channels.msteams.groupPolicy = "allowlist"（除非添加 groupAllowFrom，否则会被阻止）。未设置 channels.msteams.groupPolicy 时，channels.defaults.groupPolicy 可覆盖共享默认值。
• channels.msteams.groupAllowFrom 控制哪些发送者或静态发送者访问组可以在群聊/频道中触发操作（回退到 channels.msteams.allowFrom）。
• 设置 groupPolicy: "open" 可允许任何成员（默认情况下仍需提及）。
• 要阻止所有频道，请设置 channels.msteams.groupPolicy: "disabled"。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      groupAllowFrom: ["00000000-0000-0000-0000-000000000000", "accessGroup:core-team"],
    },
  },
}

• 通过在 channels.msteams.teams 下列出团队和频道，限定群组/频道回复范围。
• 使用 Teams 链接中的稳定 Teams 会话 ID 作为键，而不是可变的显示名称（请参阅团队和频道 ID）。
• 当存在 groupPolicy="allowlist" 和团队允许列表时，只接受列出的团队/频道（需要提及）。
• 配置向导接受 Team/Channel 条目并为你存储这些条目。
• 启动时，OpenClaw 会将团队/频道和用户允许列表中的名称解析为 ID（当 Graph 权限允许时），并记录映射。未解析的名称会按输入内容保留，但除非设置了 channels.msteams.dangerouslyAllowNameMatching: true，否则路由会忽略这些名称。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      teams: {
        "My Team": {
          channels: {
            General: { requireMention: true },
          },
        },
      },
    },
  },
}

​

联合身份验证（证书 + 托管身份）

​

选项 A：基于证书的身份验证

1. 生成或获取证书（包含私钥的 PEM 格式）。
2. Entra ID → App Registration → Certificates & secrets → Certificates → 上传公有证书。

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      certificatePath: "/path/to/cert.pem",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_CERTIFICATE_PATH=/path/to/cert.pem

​

选项 B：Azure 托管身份

1. Bot Pod/VM 具有托管身份（系统分配或用户分配）。
2. 联合身份凭据将托管身份关联到 Entra ID 应用注册。
3. 运行时，OpenClaw 使用 @azure/identity 从 Azure IMDS 端点获取令牌。
4. 令牌会传递给 Teams SDK，用于 Bot 身份验证。

• 已启用托管身份的 Azure 基础设施（AKS 工作负载身份、App Service、VM）。
• 已在 Entra ID 应用注册上创建联合身份凭据。
• Pod/VM 可通过网络访问 IMDS（169.254.169.254:80）。

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_USE_MANAGED_IDENTITY=true
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID=<client-id>（仅限用户分配的身份）

​

AKS 工作负载身份设置

1. 在 AKS 集群上启用工作负载身份。
2. 在 Entra ID 应用注册上创建联合身份凭据：
   az ad app federated-credential create --id <APP_OBJECT_ID> --parameters '{
     "name": "my-bot-workload-identity",
     "issuer": "<AKS_OIDC_ISSUER_URL>",
     "subject": "system:serviceaccount:<NAMESPACE>:<SERVICE_ACCOUNT>",
     "audiences": ["api://AzureADTokenExchange"]
   }'
   
3. 使用应用客户端 ID 为 Kubernetes 服务账号添加注解：
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: my-bot-sa
     annotations:
       azure.workload.identity/client-id: "<APP_CLIENT_ID>"
   
4. 为工作负载身份注入给 Pod 添加标签：
   metadata:
     labels:
       azure.workload.identity/use: "true"
   
5. 允许网络访问 IMDS（169.254.169.254）：如果使用 NetworkPolicy，请添加一条允许通过端口 80 访问 169.254.169.254/32 的出站规则。

​

身份验证类型比较

​

本地开发（隧道）

# 一次性设置：
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# 每个开发会话：
devtunnel host my-openclaw-bot

teams app update <teamsAppId> --endpoint "https://<new-url>/api/messages"

​

测试机器人

teams app doctor <teamsAppId>

1. 安装 Teams 应用（安装链接来自 teams app get <id> --install-link）。
2. 在 Teams 中找到机器人并发送私信。
3. 检查 Gateway 网关日志中的传入活动。

​

环境变量

​

成员信息操作

• ChannelSettings.Read.Group 和 TeamMember.Read.Group RSC 权限（已包含在推荐的清单中）。

​

历史上下文

• channels.msteams.historyLimit 控制将多少条近期频道/群组消息封装到提示词中。若未设置，则回退到 messages.groupChat.historyLimit，然后默认为 50。设置 0 可将其禁用。
• 获取的线程历史记录会按照发送者允许列表（allowFrom / groupAllowFrom）进行筛选，因此线程上下文填充仅包含允许列表中发送者的消息。
• 引用的附件上下文（从回复自身附件中的 Skype Reply 架构 HTML 解析）会不经过滤直接传递；目前只有线程历史记录填充会应用发送者允许列表筛选器。
• 私信历史记录可通过 channels.msteams.dmHistoryLimit（用户轮次）限制。按用户覆盖：channels.msteams.dms["<user_id>"].historyLimit。

​

当前 Teams RSC 权限（清单）

• ChannelMessage.Read.Group（应用程序）- 无需 @提及即可接收所有频道消息
• ChannelMessage.Send.Group（应用程序）
• Member.Read.Group（应用程序）
• Owner.Read.Group（应用程序）
• ChannelSettings.Read.Group（应用程序）
• TeamMember.Read.Group（应用程序）
• TeamSettings.Read.Group（应用程序）

• ChatMessage.Read.Chat（应用程序）- 无需 @提及即可接收所有群聊消息

teams app rsc add <teamsAppId> ChannelMessage.Read.Group --type Application

​

Teams 清单示例（已脱敏）

{
  $schema: "https://developer.microsoft.com/en-us/json-schemas/teams/v1.23/MicrosoftTeams.schema.json",
  manifestVersion: "1.23",
  version: "1.0.0",
  id: "00000000-0000-0000-0000-000000000000",
  name: { short: "OpenClaw" },
  developer: {
    name: "Your Org",
    websiteUrl: "https://example.com",
    privacyUrl: "https://example.com/privacy",
    termsOfUseUrl: "https://example.com/terms",
  },
  description: { short: "OpenClaw in Teams", full: "OpenClaw in Teams" },
  icons: { outline: "outline.png", color: "color.png" },
  accentColor: "#5B6DEF",
  bots: [
    {
      botId: "11111111-1111-1111-1111-111111111111",
      scopes: ["personal", "team", "groupChat"],
      isNotificationOnly: false,
      supportsCalling: false,
      supportsVideo: false,
      supportsFiles: true,
    },
  ],
  webApplicationInfo: {
    id: "11111111-1111-1111-1111-111111111111",
  },
  authorization: {
    permissions: {
      resourceSpecific: [
        { name: "ChannelMessage.Read.Group", type: "Application" },
        { name: "ChannelMessage.Send.Group", type: "Application" },
        { name: "Member.Read.Group", type: "Application" },
        { name: "Owner.Read.Group", type: "Application" },
        { name: "ChannelSettings.Read.Group", type: "Application" },
        { name: "TeamMember.Read.Group", type: "Application" },
        { name: "TeamSettings.Read.Group", type: "Application" },
        { name: "ChatMessage.Read.Chat", type: "Application" },
      ],
    },
  },
}

​

清单注意事项（必填字段）

• bots[].botId 必须与 Azure Bot 应用 ID 匹配。
• webApplicationInfo.id 必须与 Azure Bot 应用 ID 匹配。
• bots[].scopes 必须包含计划使用的界面（personal、team、groupChat）。
• 在个人范围内处理文件需要 bots[].supportsFiles: true。
• authorization.permissions.resourceSpecific 必须包含用于频道流量的频道读取/发送权限。

​

更新现有应用

# 下载、编辑并重新上传清单
teams app manifest download <teamsAppId> manifest.json
# 在本地编辑 manifest.json...
teams app manifest upload manifest.json <teamsAppId>
# 如果内容发生变化，版本号会自动递增

​

能力：仅 RSC 与 Graph 对比

​

使用仅 Teams RSC（已安装应用，无 Graph API 权限）

• 读取频道消息的文本内容。
• 发送频道消息的文本内容。
• 接收**个人（私信）**文件附件。

• 频道/群组的图像或文件内容（负载仅包含 HTML 存根）。
• 下载存储在 SharePoint/OneDrive 中的附件。
• 读取实时 webhook 事件之外的消息历史记录。

​

使用 Teams RSC + Microsoft Graph 应用程序权限

• 下载托管内容（粘贴到消息中的图像）。
• 下载存储在 SharePoint/OneDrive 中的文件附件。
• 通过 Graph 读取频道/聊天消息历史记录。

​

RSC 与 Graph API 对比

​

启用 Graph 的媒体 + 历史记录

1. Entra ID (Azure AD) App Registration → 添加 Graph Application permissions：
   • ChannelMessage.Read.All，用于频道附件和频道历史记录。
   • Chat.Read.All，用于群聊附件和群聊历史记录。
   • 当必须从 SharePoint/OneDrive 存储下载附件字节时，添加 Files.Read.All；仅使用历史记录的设置不需要该权限。
2. 为租户执行 Grant admin consent。
3. 提升 Teams 应用的清单版本，重新上传，并在 Teams 中重新安装应用。
4. 完全退出并重新启动 Teams，以清除缓存的应用元数据。

​

频道/群组文件恢复（graphMediaFallback）

{
  channels: {
    msteams: {
      graphMediaFallback: true,
    },
  },
}

​

已知限制

​

Webhook 超时

​

Teams 云和服务 URL 支持

• channels.msteams.cloud 选择用于身份验证、JWT 验证、令牌服务和 Graph 范围的 Teams SDK 云预设。
• channels.msteams.serviceUrl 选择 Bot Connector 端点边界，用于在执行主动发送、编辑、删除、卡片、投票、文件同意消息以及排队的长时间运行回复之前验证存储的对话引用。USGov 和 DoD SDK 云必须设置此项。对于中国/世纪互联，OpenClaw 使用 SDK 的 China 预设，并且仅接受位于 Azure 中国 Bot Framework 渠道主机上的已存储/已配置服务 URL。

{
  "channels": {
    "msteams": {
      "serviceUrl": "https://smba.infra.gcc.teams.microsoft.com/teams"
    }
  }
}

{
  "channels": {
    "msteams": {
      "cloud": "USGov",
      "serviceUrl": "https://smba.infra.gov.teams.microsoft.us/teams"
    }
  }
}

​

格式设置

• 支持基本格式：粗体、斜体、code、链接。
• 复杂 Markdown（表格、嵌套列表）可能无法正确呈现。
• 投票和语义呈现发送支持 Adaptive Cards（见下文）。

​

配置

• channels.msteams.enabled：启用/禁用该渠道。
• channels.msteams.appId、channels.msteams.appPassword、channels.msteams.tenantId：Bot 凭据。
• channels.msteams.cloud：Teams SDK 云环境（Public、USGov、USGovDoD 或 China；默认值为 Public）。对于 USGov/DoD SDK 云，请使用 serviceUrl 进行设置；中国区使用 SDK 预设和已存储的 Azure 中国区 Bot Framework 对话引用，在 Azure 中国区 Graph 路由发布之前，基于 Graph 的辅助功能将保持禁用。
• channels.msteams.serviceUrl：SDK 主动操作所使用的 Bot Connector 服务 URL 边界。公有云使用 SDK 默认值；对于 GCC（https://smba.infra.gcc.teams.microsoft.com/teams）、GCC High 或 DoD，请进行设置。当已存储的对话引用来自由世纪互联运营的 Teams 时，中国区接受 Azure 中国区 Bot Framework 渠道主机。
• channels.msteams.webhook.port（默认值为 3978）。
• channels.msteams.webhook.path（默认值为 /api/messages）。
• channels.msteams.dmPolicy：pairing | allowlist | open | disabled（默认值为 pairing）。
• channels.msteams.allowFrom：私信允许列表（建议使用 AAD 对象 ID）。Graph 访问可用时，向导会在设置过程中将名称解析为 ID。
• channels.msteams.dangerouslyAllowNameMatching：紧急恢复开关，用于重新启用可变的 UPN/显示名称匹配，以及直接按团队/频道名称进行路由。
• channels.msteams.textChunkLimit：出站文本分块大小（字符数，默认值为 4000；无论配置的值有多高，硬性上限均为 4000）。
• channels.msteams.streaming.chunkMode：length（默认）或 newline，用于在按长度分块前先按空行（段落边界）拆分。
• channels.msteams.mediaAllowHosts：入站附件主机允许列表（默认为 Microsoft/Teams 域：Graph、SharePoint/OneDrive、Teams CDN、Bot Framework、Azure Media Services）。
• channels.msteams.mediaAuthAllowHosts：媒体重试时允许附加 Authorization 标头的主机允许列表（默认为 Graph + Bot Framework 主机）。
• channels.msteams.graphMediaFallback：当频道/群组 HTML 省略文件标记时，选择启用 Graph 消息查询（默认值为 false；请参阅频道/群组文件恢复）。
• channels.msteams.mediaMaxMb：每个频道的媒体大小限制覆盖值，以 MB 为单位。未设置时回退到 agents.defaults.mediaMaxMb。
• channels.msteams.requireMention：在频道/群组中要求 @提及（默认值为 true）。
• channels.msteams.replyStyle：thread | top-level（请参阅回复样式）。
• channels.msteams.teams.<teamId>.replyStyle：每个团队的覆盖值。
• channels.msteams.teams.<teamId>.requireMention：每个团队的覆盖值。
• channels.msteams.teams.<teamId>.tools：缺少频道覆盖值时使用的默认每团队工具策略覆盖值（allow/deny/alsoAllow）。
• channels.msteams.teams.<teamId>.toolsBySender：默认的每团队、每发送者工具策略覆盖值（支持 "*" 通配符）。
• channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle：每个频道的覆盖值。
• channels.msteams.teams.<teamId>.channels.<conversationId>.requireMention：每个频道的覆盖值。
• channels.msteams.teams.<teamId>.channels.<conversationId>.tools：每个频道的工具策略覆盖值（allow/deny/alsoAllow）。
• channels.msteams.teams.<teamId>.channels.<conversationId>.toolsBySender：每个频道、每个发送者的工具策略覆盖值（支持 "*" 通配符）。
• toolsBySender 键应使用明确前缀：channel:、id:、e164:、username:、name:（旧版无前缀键仍只映射到 id:）。
• channels.msteams.authType：身份验证类型——"secret"（默认）或 "federated"。
• channels.msteams.certificatePath：PEM 证书文件的路径（联合身份 + 证书身份验证）。
• channels.msteams.certificateThumbprint：证书指纹；可接受，但身份验证不要求提供。
• channels.msteams.useManagedIdentity：启用托管身份验证（联合身份模式）。
• channels.msteams.managedIdentityClientId：用户分配的托管身份的客户端 ID。
• channels.msteams.sharePointSiteId：用于在群聊/频道中上传文件的 SharePoint 站点 ID（请参阅在群聊中发送文件）。
• channels.msteams.welcomeCard、channels.msteams.groupWelcomeCard、channels.msteams.promptStarters：首次通过私信/群组联系时显示的欢迎 Adaptive Card，以及其中的建议提示词按钮。
• channels.msteams.responsePrefix：添加到出站回复前的文本。
• channels.msteams.feedbackEnabled（默认值为 true）、channels.msteams.feedbackReflection（默认值为 true）、channels.msteams.feedbackReflectionCooldownMs：回复的赞/踩反馈，以及负面反馈后的反思跟进。
• channels.msteams.sso、channels.msteams.delegatedAuth：用于基于 SSO 的流程的 Bot Framework OAuth 连接和委托 Graph 权限范围；sso.enabled: true 需要 sso.connectionName。

​

路由和会话

• 会话键遵循标准智能体格式（请参阅 /concepts/session）：
  • 私信共享主会话（agent:<agentId>:<mainKey>）。
  • 频道/群组消息使用对话 ID：
    • agent:<agentId>:msteams:channel:<conversationId>
    • agent:<agentId>:msteams:group:<conversationId>

​

回复样式：主题帖与帖子

• 在 Threads 样式的频道中使用 thread → 回复会以不自然的方式嵌套显示。
• 在 Posts 样式的频道中使用 top-level → 回复会显示为独立的顶层帖子，而不是显示在线程内。

{
  channels: {
    msteams: {
      replyStyle: "thread",
      teams: {
        "19:abc...@thread.tacv2": {
          channels: {
            "19:xyz...@thread.tacv2": {
              replyStyle: "top-level",
            },
          },
        },
      },
    },
  },
}

​

解析优先级

1. 每频道——channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle
2. 每团队——channels.msteams.teams.<teamId>.replyStyle
3. 全局——channels.msteams.replyStyle
4. 隐式默认值——派生自 requireMention：
   • requireMention: true → thread
   • requireMention: false → top-level

​

线程上下文保留

​

附件和图像

• **私信：**图像和文件附件可通过 Teams Bot 文件 API 正常使用。
• 频道/群组：附件存储在 M365 存储空间（SharePoint/OneDrive）中。Webhook 负载只包含 HTML 存根，而不包含实际的文件字节。下载频道附件需要 Graph API 权限。
• 对于明确以文件为首要内容的发送，请将 action=upload-file 与 media / filePath / path 配合使用；可选的 message 会成为随附的文本/评论，而 filename（或 title）会覆盖上传后的名称。

​

在群聊中发送文件

​

群聊为何需要 SharePoint

​

设置

1. 在 Entra ID (Azure AD) → App Registration 中添加 Graph API 权限：
   • Sites.ReadWrite.All (Application)——将文件上传到 SharePoint。
   • ChatMember.Read.All (Application)——用于群聊文件发送的最低权限租户级权限。Chat.Read.All 也可用，并且在启用群聊历史记录时已涵盖此权限。作为每个聊天的替代方案，请使用 ChatMember.Read.Chat 资源特定同意权限。
2. 为租户授予管理员同意。
3. 获取 SharePoint 站点 ID：
   # 通过 Graph Explorer 或使用有效令牌的 curl：
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/{hostname}:/{site-path}"
   
   # 示例：对于位于 "contoso.sharepoint.com/sites/BotFiles" 的站点
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/contoso.sharepoint.com:/sites/BotFiles"
   
   # 响应包含："id": "contoso.sharepoint.com,guid1,guid2"
   
4. 配置 OpenClaw：
   {
     channels: {
       msteams: {
         // ... 其他配置 ...
         sharePointSiteId: "contoso.sharepoint.com,guid1,guid2",
       },
     },
   }
   

​

共享行为

​

回退行为

​

文件存储位置

​

投票（Adaptive Cards）

• CLI：openclaw message poll --channel msteams --target conversation:<id> --poll-question "..." --poll-option "..." --poll-option "..."。
• 投票由 Gateway 网关记录在 OpenClaw 插件状态 SQLite 的 state/openclaw.sqlite 下。
• 现有 msteams-polls.json 文件由 openclaw doctor --fix 导入，而不是由正在运行的插件导入。
• Gateway 网关必须保持在线才能记录投票。
• 投票不会自动发布结果摘要，并且目前还没有投票结果 CLI。

​

呈现卡片

{
  action: "send",
  channel: "msteams",
  target: "user:<id>",
  presentation: {
    title: "你好",
    blocks: [{ type: "text", text: "你好！" }],
  },
}

openclaw message send --channel msteams \
  --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"你好","blocks":[{"type":"text","text":"你好！"}]}'

​

目标格式

# 按 ID 向用户发送消息
openclaw message send --channel msteams --target "user:40a1a0ed-..." --message "你好"

# 按显示名称向用户发送消息（触发 Graph API 查询）
openclaw message send --channel msteams --target "user:John Smith" --message "你好"

# 向群聊或频道发送消息
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" --message "你好"

# 向对话发送呈现卡片
openclaw message send --channel msteams --target "conversation:19:abc...@thread.tacv2" \
  --presentation '{"title":"你好","blocks":[{"type":"text","text":"你好"}]}'

{
  action: "send",
  channel: "msteams",
  target: "user:John Smith",
  message: "你好！",
}

{
  action: "send",
  channel: "msteams",
  target: "conversation:19:abc...@thread.tacv2",
  presentation: {
    title: "你好",
    blocks: [{ type: "text", text: "你好" }],
  },
}

​

主动消息

• 只有在用户进行交互之后才能发送主动消息，因为 OpenClaw 会在此时存储对话引用。
• 有关 dmPolicy 和允许列表门控，请参阅 /gateway/configuration。

​

团队和频道 ID（常见易错点）

https://teams.microsoft.com/l/team/19%3ABk4j...%40thread.tacv2/conversations?groupId=...
                                    └────────────────────────────┘
                                    团队对话 ID（对此进行 URL 解码）

https://teams.microsoft.com/l/channel/19%3A15bc...%40thread.tacv2/ChannelName?groupId=...
                                      └─────────────────────────┘
                                      频道 ID（对此进行 URL 解码）

• 团队键 = /team/ 后的路径段（经过 URL 解码，例如 19:Bk4j...@thread.tacv2；较旧的租户可能显示 @thread.skype，这同样有效）。
• 频道键 = /channel/ 后的路径段（经过 URL 解码）。
• 对于 OpenClaw 路由，请忽略 groupId 查询参数。它是 Microsoft Entra 组 ID，而不是传入 Teams 活动中使用的 Bot Framework 对话 ID。

​

私有频道

1. 使用标准频道进行 Bot 交互。
2. 使用私信；用户始终可以直接向 Bot 发送消息。
3. 使用 Graph API 访问历史记录（需要 ChannelMessage.Read.All）。

​

故障排查

​

常见问题

• **频道中不显示图像：**缺少 Graph 权限或管理员同意。重新安装 Teams 应用，然后完全退出并重新打开 Teams。
• **频道中没有响应：**默认需要提及；设置 channels.msteams.requireMention=false，或按团队/频道进行配置。
• **版本不匹配（Teams 仍显示旧清单）：**移除并重新添加应用，然后完全退出 Teams 以刷新。
• **webhook 返回 401 Unauthorized：**在没有 Azure JWT 的情况下手动测试时，这是预期行为；这表示端点可访问，但身份验证失败。请使用 Azure Web Chat 进行正确测试。

​

清单上传错误

• **“Icon file cannot be empty”：**清单引用的图标文件大小为 0 字节。创建有效的 PNG 图标（outline.png 为 32x32，color.png 为 192x192）。
• **“webApplicationInfo.Id already in use”：**应用仍安装在另一个团队/聊天中。请先找到并卸载它，或等待 5-10 分钟以完成传播。
• **上传时显示 “Something went wrong”：**改为通过 https://admin.teams.microsoft.com 上传，打开浏览器 DevTools（F12）→ Network 选项卡，然后检查响应正文中的实际错误。
• **旁加载失败：**尝试使用 “Upload an app to your org’s app catalog”，而不是 “Upload a custom app”；这通常可以绕过旁加载限制。

​

RSC 权限无法工作

1. 验证 webApplicationInfo.id 是否与 Bot 的 App ID 完全匹配。
2. 重新上传应用，并在团队/聊天中重新安装。
3. 检查组织管理员是否已阻止 RSC 权限。
4. 确认使用了正确的作用域：团队使用 ChannelMessage.Read.Group，群聊使用 ChatMessage.Read.Chat。

​

参考资料

• 创建 Azure Bot - Azure Bot 设置指南
• Teams Developer Portal - 创建/管理 Teams 应用
• Teams 应用清单架构
• 使用 RSC 接收频道消息
• RSC 权限参考
• Teams Bot 文件处理（频道/群组需要 Graph）
• 主动消息
• @microsoft/teams.cli - 用于管理 Bot 的 Teams CLI

​

相关内容

• 渠道概览 - 所有受支持的渠道
• 配对 - 私信身份验证和配对流程
• 群组 - 群聊行为和提及门控
• 频道路由 - 消息的会话路由
• 安全 - 访问模型和安全加固