Microsoft Teams

​

Bundled plugin

openclaw plugins install @openclaw/msteams

openclaw plugins install ./path/to/local/msteams-plugin

​

快速设置

npm install -g @microsoft/teams.cli@preview
teams login
teams status   # 验证你已登录并查看你的租户信息

# 一次性设置（跨会话保持固定 URL）：
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# 每个开发会话：
devtunnel host my-openclaw-bot
# 你的端点：https://<tunnel-id>.devtunnels.ms/api/messages

teams app create \
  --name "OpenClaw" \
  --endpoint "https://<your-tunnel-url>/api/messages"

• 创建一个 Entra ID（Azure AD）应用
• 生成一个客户端密钥
• 构建并上传一个 Teams 应用清单（包含图标）
• 注册机器人（默认由 Teams 托管 - 无需 Azure 订阅）

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<CLIENT_ID>",
      appPassword: "<CLIENT_SECRET>",
      tenantId: "<TENANT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

teams app get <teamsAppId> --install-link

teams app doctor <teamsAppId>

​

目标

• 通过 Teams 私信、群聊或频道与 OpenClaw 对话。
• 保持路由确定性：回复始终回到它们进入时所在的频道。
• 默认采用安全的频道行为（除非另有配置，否则需要提及）。

​

配置写入

{
  channels: { msteams: { configWrites: false } },
}

​

访问控制（DM + 群组）

• 默认：channels.msteams.dmPolicy = "pairing"。未知发送者会被忽略，直到通过审批。
• channels.msteams.allowFrom 应使用稳定的 AAD 对象 ID 或静态发送者访问组，例如 accessGroup:core-team。
• 不要依赖 UPN/显示名称匹配来做允许列表——它们可能会变化。OpenClaw 默认会禁用直接名称匹配；如需启用，请显式设置 channels.msteams.dangerouslyAllowNameMatching: true。
• 当凭据允许时，向导可以通过 Microsoft Graph 将名称解析为 ID。

• 默认：channels.msteams.groupPolicy = "allowlist"（除非你添加 groupAllowFrom，否则会被阻止）。当未设置时，可使用 channels.defaults.groupPolicy 覆盖默认值。
• channels.msteams.groupAllowFrom 控制哪些发送者或静态发送者访问组可以在群聊/频道中触发（回退到 channels.msteams.allowFrom）。
• 设置 groupPolicy: "open" 以允许任何成员（默认仍需提及门控）。
• 要允许没有任何频道，请设置 channels.msteams.groupPolicy: "disabled"。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      groupAllowFrom: ["00000000-0000-0000-0000-000000000000", "accessGroup:core-team"],
    },
  },
}

• 通过在 channels.msteams.teams 下列出 teams 和 channels 来限定群组/频道回复范围。
• 键应使用来自 Teams 链接的稳定 Teams 会话 ID，而不是可变的显示名称。
• 当 groupPolicy="allowlist" 且存在 teams 允许列表时，只有列出的 teams/channels 会被接受（仍需提及）。
• 配置向导接受 Team/Channel 条目，并会为你保存它们。
• 启动时，OpenClaw 会将 team/channel 和用户允许列表名称解析为 ID（当 Graph 权限允许时） 并记录映射；无法解析的 team/channel 名称会按输入保留，但默认会被忽略用于路由，除非启用了 channels.msteams.dangerouslyAllowNameMatching: true。

{
  channels: {
    msteams: {
      groupPolicy: "allowlist",
      teams: {
        "My Team": {
          channels: {
            General: { requireMention: true },
          },
        },
      },
    },
  },
}

​

联邦认证（证书 + 托管标识）

添加于 2026.4.11

​

选项 A：基于证书的认证

1. 生成或获取一个证书（包含私钥的 PEM 格式）。
2. 在 Entra ID → 应用注册 → 证书和密码 → 证书 → 上传公钥证书。

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      certificatePath: "/path/to/cert.pem",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_CERTIFICATE_PATH=/path/to/cert.pem

​

选项 B：Azure 托管标识

1. Bot Pod/虚拟机具有托管标识（系统分配或用户分配）。
2. 一个 联邦身份凭据 将该托管标识链接到 Entra ID 应用注册。
3. 运行时，OpenClaw 使用 @azure/identity 从 Azure IMDS 端点（169.254.169.254）获取令牌。
4. 该令牌被传递给 Teams SDK 用于 bot 认证。

• 已启用托管标识的 Azure 基础设施（AKS 工作负载标识、App Service、虚拟机）
• 已在 Entra ID 应用注册上创建联邦身份凭据
• Pod/虚拟机可访问 IMDS（169.254.169.254:80）

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

{
  channels: {
    msteams: {
      enabled: true,
      appId: "<APP_ID>",
      tenantId: "<TENANT_ID>",
      authType: "federated",
      useManagedIdentity: true,
      managedIdentityClientId: "<MI_CLIENT_ID>",
      webhook: { port: 3978, path: "/api/messages" },
    },
  },
}

• MSTEAMS_AUTH_TYPE=federated
• MSTEAMS_USE_MANAGED_IDENTITY=true
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID=<client-id>（仅适用于用户分配）

​

AKS 工作负载标识设置

1. 在你的 AKS 集群上启用工作负载标识。
2. 在 Entra ID 应用注册上创建联邦身份凭据：
   az ad app federated-credential create --id <APP_OBJECT_ID> --parameters '{
     "name": "my-bot-workload-identity",
     "issuer": "<AKS_OIDC_ISSUER_URL>",
     "subject": "system:serviceaccount:<NAMESPACE>:<SERVICE_ACCOUNT>",
     "audiences": ["api://AzureADTokenExchange"]
   }'
   
3. 使用应用客户端 ID 为 Kubernetes service account 添加注解：
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: my-bot-sa
     annotations:
       azure.workload.identity/client-id: "<APP_CLIENT_ID>"
   
4. 为工作负载标识注入为 Pod 添加标签：
   metadata:
     labels:
       azure.workload.identity/use: "true"
   
5. 确保网络可访问 IMDS（169.254.169.254）- 如果使用 NetworkPolicy，请添加一条允许到 169.254.169.254/32 的 80 端口流量的 egress 规则。

​

认证类型对比

​

本地开发（隧道）

# 一次性设置：
devtunnel create my-openclaw-bot --allow-anonymous
devtunnel port create my-openclaw-bot -p 3978 --protocol auto

# 每次开发会话：
devtunnel host my-openclaw-bot

teams app update <teamsAppId> --endpoint "https://<new-url>/api/messages"

​

测试 Bot

teams app doctor <teamsAppId>

1. 安装 Teams 应用（使用 teams app get <id> --install-link 返回的安装链接）
2. 在 Teams 中找到 bot 并发送一条私信
3. 检查网关日志是否有传入活动

​

环境变量

• MSTEAMS_APP_ID
• MSTEAMS_APP_PASSWORD
• MSTEAMS_TENANT_ID
• MSTEAMS_AUTH_TYPE（可选："secret" 或 "federated"）
• MSTEAMS_CERTIFICATE_PATH（联邦 + 证书）
• MSTEAMS_CERTIFICATE_THUMBPRINT（可选，认证不需要）
• MSTEAMS_USE_MANAGED_IDENTITY（联邦 + 托管标识）
• MSTEAMS_MANAGED_IDENTITY_CLIENT_ID（仅用户分配 MI）

​

成员信息操作

• Member.Read.Group RSC 权限（已包含在推荐清单中）
• 对于跨团队查找：User.Read.All Graph 应用权限并获得管理员同意

​

历史上下文

• channels.msteams.historyLimit 控制会封装进 prompt 的最近频道/群聊消息数量。
• 回退到 messages.groupChat.historyLimit。设为 0 可禁用（默认 50）。
• 获取到的线程历史会按发送者 allowlist（allowFrom / groupAllowFrom）过滤，因此线程上下文注入只包含来自允许发送者的消息。
• 引用附件上下文（从 Teams 回复 HTML 中派生的 ReplyTo*）当前会按接收到的内容传递。
• 换句话说，allowlist 仅用于限制哪些人可以触发 agent；目前只有特定的补充上下文路径会被过滤。
• 可通过 channels.msteams.dmHistoryLimit 限制 DM 历史（用户轮次）。按用户覆盖：channels.msteams.dms["<user_id>"].historyLimit。

​

当前 Teams RSC 权限（清单）

• ChannelMessage.Read.Group (Application) - 在无需 @mention 的情况下接收所有频道消息
• ChannelMessage.Send.Group (Application)
• Member.Read.Group (Application)
• Owner.Read.Group (Application)
• ChannelSettings.Read.Group (Application)
• TeamMember.Read.Group (Application)
• TeamSettings.Read.Group (Application)

• ChatMessage.Read.Chat (Application) - 在无需 @mention 的情况下接收所有群聊消息

teams app rsc add <teamsAppId> ChannelMessage.Read.Group --type Application

​

Teams 清单示例（已脱敏）

{
  $schema: "https://developer.microsoft.com/en-us/json-schemas/teams/v1.23/MicrosoftTeams.schema.json",
  manifestVersion: "1.23",
  version: "1.0.0",
  id: "00000000-0000-0000-0000-000000000000",
  name: { short: "OpenClaw" },
  developer: {
    name: "Your Org",
    websiteUrl: "https://example.com",
    privacyUrl: "https://example.com/privacy",
    termsOfUseUrl: "https://example.com/terms",
  },
  description: { short: "Teams 中的 OpenClaw", full: "Teams 中的 OpenClaw" },
  icons: { outline: "outline.png", color: "color.png" },
  accentColor: "#5B6DEF",
  bots: [
    {
      botId: "11111111-1111-1111-1111-111111111111",
      scopes: ["personal", "team", "groupChat"],
      isNotificationOnly: false,
      supportsCalling: false,
      supportsVideo: false,
      supportsFiles: true,
    },
  ],
  webApplicationInfo: {
    id: "11111111-1111-1111-1111-111111111111",
  },
  authorization: {
    permissions: {
      resourceSpecific: [
        { name: "ChannelMessage.Read.Group", type: "Application" },
        { name: "ChannelMessage.Send.Group", type: "Application" },
        { name: "Member.Read.Group", type: "Application" },
        { name: "Owner.Read.Group", type: "Application" },
        { name: "ChannelSettings.Read.Group", type: "Application" },
        { name: "TeamMember.Read.Group", type: "Application" },
        { name: "TeamSettings.Read.Group", type: "Application" },
        { name: "ChatMessage.Read.Chat", type: "Application" },
      ],
    },
  },
}

​

清单注意事项（必需字段）

• bots[].botId 必须 与 Azure Bot App ID 匹配。
• webApplicationInfo.id 必须 与 Azure Bot App ID 匹配。
• bots[].scopes 必须包含你计划使用的入口（personal、team、groupChat）。
• 在个人范围内进行文件处理时需要 bots[].supportsFiles: true。
• 如果你希望接收频道流量，authorization.permissions.resourceSpecific 必须包含频道读/发权限。

​

更新现有应用

# 下载、编辑并重新上传清单
teams app manifest download <teamsAppId> manifest.json
# 在本地编辑 manifest.json...
teams app manifest upload manifest.json <teamsAppId>
# 如果内容发生变化，版本会自动提升

​

功能：仅 RSC vs Graph

​

使用 Teams 仅 RSC（已安装应用，无 Graph API 权限）

• 读取频道消息的 文本 内容。
• 发送频道消息的 文本 内容。
• 接收 个人（DM） 文件附件。

• 频道/群组的 图片或文件内容（payload 只包含 HTML 占位片段）。
• 下载存储在 SharePoint/OneDrive 中的附件。
• 读取消息历史记录（仅限实时 webhook 事件）。

​

使用 Teams RSC + Microsoft Graph 应用程序权限

• 下载托管内容（粘贴到消息中的图片）。
• 下载存储在 SharePoint/OneDrive 中的文件附件。
• 通过 Graph 读取频道/聊天消息历史记录。

​

RSC vs Graph API

​

启用 Graph 的媒体 + 历史记录（频道必需）

1. 在 Entra ID（Azure AD）应用注册中，添加 Microsoft Graph 应用程序权限：
   • ChannelMessage.Read.All（频道附件 + 历史记录）
   • Chat.Read.All 或 ChatMessage.Read.All（群聊）
2. 为租户 授予管理员同意。
3. 提升 Teams 应用 manifest 版本，重新上传，并 在 Teams 中重新安装应用。
4. 完全退出并重新启动 Teams，以清除缓存的应用元数据。

​

已知限制

​

Webhook 超时

• 网关超时
• Teams 重试消息（导致重复）
• 回复丢失

​

Teams cloud and service URL support

• channels.msteams.cloud selects the Teams SDK cloud preset for authentication, JWT validation, token services, and Graph scope.
• channels.msteams.serviceUrl selects the Bot Connector endpoint boundary used to validate stored conversation references before proactive sends, edits, deletes, cards, polls, file-consent messages, and queued long-running replies. It is required for USGov and DoD SDK clouds. For China/21Vianet, OpenClaw uses the SDK China preset and accepts stored/configured service URLs only on Azure China Bot Framework channel hosts.

{
  "channels": {
    "msteams": {
      "serviceUrl": "https://smba.infra.gcc.teams.microsoft.com/teams"
    }
  }
}

{
  "channels": {
    "msteams": {
      "cloud": "USGov",
      "serviceUrl": "https://smba.infra.gov.teams.microsoft.us/teams"
    }
  }
}

​

格式

• 基本格式可用：粗体、斜体、代码、链接
• 复杂 markdown（表格、嵌套列表）可能无法正确渲染
• Adaptive Cards 支持用于投票和语义化展示发送（见下文）

​

Configuration

• channels.msteams.enabled: enable/disable the channel.
• channels.msteams.appId, channels.msteams.appPassword, channels.msteams.tenantId: bot credentials.
• channels.msteams.cloud: Teams SDK cloud environment (Public, USGov, USGovDoD, or China; default Public). Set this with serviceUrl for USGov/DoD SDK clouds; China uses the SDK preset and stored Azure China Bot Framework conversation references, with Graph-backed helpers disabled until Azure China Graph routing is implemented.
• channels.msteams.serviceUrl: Bot Connector service URL boundary for SDK proactive operations. Public cloud uses the SDK default; set this for GCC (https://smba.infra.gcc.teams.microsoft.com/teams), GCC High, or DoD. China accepts Azure China Bot Framework channel hosts when the stored conversation reference comes from Teams operated by 21Vianet.
• channels.msteams.webhook.port (default 3978)
• channels.msteams.webhook.path (default /api/messages)
• channels.msteams.dmPolicy: pairing | allowlist | open | disabled (default: pairing)
• channels.msteams.allowFrom: DM allowlist (AAD object IDs recommended). The wizard resolves names to IDs during setup when Graph access is available.
• channels.msteams.dangerouslyAllowNameMatching: break-glass toggle to re-enable mutable UPN/display-name matching and direct team/channel name routing.
• channels.msteams.textChunkLimit: outbound text chunk size.
• channels.msteams.chunkMode: length (default) or newline to split on blank lines (paragraph boundaries) before length chunking.
• channels.msteams.mediaAllowHosts: allowlist for inbound attachment hosts (defaults to Microsoft/Teams domains).
• channels.msteams.mediaAuthAllowHosts: allowlist for attaching Authorization headers on media retries (defaults to Graph + Bot Framework hosts).
• channels.msteams.requireMention: require @mention in channels/groups (default true).
• channels.msteams.replyStyle: thread | top-level (see Reply Style).
• channels.msteams.teams.<teamId>.replyStyle: per-team override.
• channels.msteams.teams.<teamId>.requireMention: per-team override.
• channels.msteams.teams.<teamId>.tools: default per-team tool policy overrides (allow/deny/alsoAllow) used when a channel override is missing.
• channels.msteams.teams.<teamId>.toolsBySender: default per-team per-sender tool policy overrides ("*" wildcard supported).
• channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle: per-channel override.
• channels.msteams.teams.<teamId>.channels.<conversationId>.requireMention: per-channel override.
• channels.msteams.teams.<teamId>.channels.<conversationId>.tools: per-channel tool policy overrides (allow/deny/alsoAllow).
• channels.msteams.teams.<teamId>.channels.<conversationId>.toolsBySender: per-channel per-sender tool policy overrides ("*" wildcard supported).
• toolsBySender keys should use explicit prefixes: channel:, id:, e164:, username:, name: (legacy unprefixed keys still map to id: only).
• channels.msteams.actions.memberInfo: enable or disable the Graph-backed member info action (default: enabled when Graph credentials are available).
• channels.msteams.authType: authentication type - "secret" (default) or "federated".
• channels.msteams.certificatePath: path to PEM certificate file (federated + certificate auth).
• channels.msteams.certificateThumbprint: certificate thumbprint (optional, not required for auth).
• channels.msteams.useManagedIdentity: enable managed identity auth (federated mode).
• channels.msteams.managedIdentityClientId: client ID for user-assigned managed identity.
• channels.msteams.sharePointSiteId: SharePoint site ID for file uploads in group chats/channels (see Sending files in group chats).

​

Routing and Sessions

• Session keys follow the standard agent format (see /concepts/session):
  • Direct messages share the main session (agent:<agentId>:<mainKey>).
  • Channel/group messages use the conversation id:
    • agent:<agentId>:msteams:channel:<conversationId>
    • agent:<agentId>:msteams:group:<conversationId>

​

Reply Style: Threads vs Posts

• In Threads-style channels, using thread → replies nest awkwardly
• In Posts-style channels, using top-level → replies appear as separate top-level posts instead of in-thread replies

{
  channels: {
    msteams: {
      replyStyle: "thread",
      teams: {
        "19:[email protected]": {
          channels: {
            "19:[email protected]": {
              replyStyle: "top-level",
            },
          },
        },
      },
    },
  },
}

​

Priority Order

1. Per channel — channels.msteams.teams.<teamId>.channels.<conversationId>.replyStyle
2. Per team — channels.msteams.teams.<teamId>.replyStyle
3. Global — channels.msteams.replyStyle
4. Implicit default — inferred from requireMention:
   • requireMention: true → thread
   • requireMention: false → top-level

​

Thread Context Preservation

​

Attachments and Images

• DMs: Images and file attachments can be used via the Teams bot file API.
• Channels/Groups: Attachments are stored in M365 storage (SharePoint/OneDrive). The webhook payload includes only an HTML placeholder fragment, not the actual file bytes. Downloading channel attachments requires Graph API permissions.
• For explicit “file-first” sends, use action=upload-file with media / filePath / path; optional message becomes the accompanying text/comment, and filename overrides the upload name.

​

Sending Files in Group Chats

​

Why Group Chats Need SharePoint

​

Setup

1. In Entra ID (Azure AD) → App registrations, add Graph API permissions:
   • Sites.ReadWrite.All (Application) - upload files to SharePoint
   • Chat.Read.All (Application) - optional, enables user-specific sharing links
2. Grant admin consent for the tenant.
3. Get your SharePoint site ID:
   # Via Graph Explorer or using curl with a valid token:
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/{hostname}:/{site-path}"
   
   # Example: site is located at "contoso.sharepoint.com/sites/BotFiles"
   curl -H "Authorization: Bearer $TOKEN" \
     "https://graph.microsoft.com/v1.0/sites/contoso.sharepoint.com:/sites/BotFiles"
   
   # Response includes: "id": "contoso.sharepoint.com,guid1,guid2"
   
4. Configure OpenClaw:
   {
     channels: {
       msteams: {
         // ... other configuration ...
         sharePointSiteId: "contoso.sharepoint.com,guid1,guid2",
       },
     },
   }
   

​

Sharing Behavior

​

Fallback Behavior

​

File Storage Location

​

Polls (Adaptive Cards)

• CLI: openclaw message poll --channel msteams --target conversation:<id> ...
• 投票由 gateway 记录到 OpenClaw 插件状态 SQLite 中，位于 state/openclaw.sqlite。
• Existing msteams-polls.json files are imported by openclaw doctor --fix, not by the running plugin.
• The gateway must stay online to record votes.
• Polls do not auto-post result summaries yet, and there is no supported poll-results CLI yet.

​

Presentation Cards

{
  action: "send",
  channel: "msteams",
  target: "user:<id>",
  presentation: {
    title: "你好",
    blocks: [{ type: "text", text: "你好！" }],
  },
}

openclaw message send --channel msteams \
  --target "conversation:19:[email protected]" \
  --presentation '{"title":"你好","blocks":[{"type":"text","text":"你好！"}]}'

​

目标格式

# 通过 ID 向用户发送
openclaw message send --channel msteams --target "user:40a1a0ed-..." --message "你好"

# 通过显示名称向用户发送（会触发 Graph API 查找）
openclaw message send --channel msteams --target "user:John Smith" --message "你好"

# 向群聊或频道发送
openclaw message send --channel msteams --target "conversation:19:[email protected]" --message "你好"

# 向会话发送演示卡片
openclaw message send --channel msteams --target "conversation:19:[email protected]" \
  --presentation '{"title":"你好","blocks":[{"type":"text","text":"你好"}]}'

{
  action: "send",
  channel: "msteams",
  target: "user:John Smith",
  message: "你好！",
}

{
  action: "send",
  channel: "msteams",
  target: "conversation:19:[email protected]",
  presentation: {
    title: "你好",
    blocks: [{ type: "text", text: "你好" }],
  },
}

​

主动消息

• 主动消息只有在用户与机器人发生交互之后才可能发送，因为我们会在那时保存会话引用。
• 有关 dmPolicy 和允许名单门控，请参见 /gateway/configuration。

​

团队和频道 ID（常见误区）

https://teams.microsoft.com/l/team/19%3ABk4j...%40thread.tacv2/conversations?groupId=...
                                    └────────────────────────────┘
                                    团队会话 ID（对其进行 URL 解码）

https://teams.microsoft.com/l/channel/19%3A15bc...%40thread.tacv2/ChannelName?groupId=...
                                      └─────────────────────────┘
                                      频道 ID（URL 解码）

• Team key = /team/ 后的路径段（URL 解码，例如 19:[email protected]；较旧的租户可能显示 @thread.skype，这也是有效的）
• Channel key = /channel/ 后的路径段（URL 解码）
• 忽略 OpenClaw 路由中的 groupId 查询参数。它是 Microsoft Entra 组 ID，不是传入 Teams 活动中使用的 Bot Framework 会话 ID。

​

私有频道

1. 使用标准频道进行机器人交互
2. 使用私信 - 用户始终可以直接向机器人发消息
3. 使用 Graph API 访问历史记录（需要 ChannelMessage.Read.All）

​

故障排查

​

常见问题

• 频道中不显示图片： 缺少 Graph 权限或管理员同意。重新安装 Teams 应用，并完全退出/重新打开 Teams。
• 频道中没有响应： 默认需要提及；设置 channels.msteams.requireMention=false，或按团队/频道单独配置。
• 版本不匹配（Teams 仍显示旧 manifest）： 删除并重新添加应用，然后完全退出 Teams 以刷新。
• 来自 webhook 的 401 Unauthorized： 在没有 Azure JWT 的情况下手动测试时这是预期现象——表示端点可达，但认证失败。请使用 Azure Web Chat 正确测试。

​

manifest 上传错误

• “Icon file cannot be empty”： manifest 引用了 0 字节的图标文件。请创建有效的 PNG 图标（outline.png 为 32x32，color.png 为 192x192）。
• “webApplicationInfo.Id already in use”： 该应用仍安装在其他团队/聊天中。请先找到并卸载它，或者等待 5-10 分钟让变更传播完成。
• 上传时出现 “Something went wrong”： 改为通过 https://admin.teams.microsoft.com 上传，打开浏览器开发者工具（F12）→ Network 选项卡，并检查响应体中的实际错误。
• 侧载失败： 尝试选择“Upload an app to your org’s app catalog”，而不是“Upload a custom app”——这通常可以绕过侧载限制。

​

RSC 权限不生效

1. 确认 webApplicationInfo.id 与你的机器人 App ID 完全一致
2. 重新上传应用，并在团队/聊天中重新安装
3. 检查组织管理员是否已阻止 RSC 权限
4. 确认你使用的是正确的作用域：团队使用 ChannelMessage.Read.Group，群聊使用 ChatMessage.Read.Chat

​

参考资料

• 创建 Azure Bot - Azure Bot 设置指南
• Teams 开发者门户 - 创建/管理 Teams 应用
• Teams 应用 manifest 架构
• 使用 RSC 接收频道消息
• RSC 权限参考
• Teams 机器人文件处理（频道/群组需要 Graph）
• 主动消息
• @microsoft/teams.cli - 用于机器人管理的 Teams CLI

​

相关内容

• Channels Overview - 所有受支持的频道
• Pairing - DM 认证和配对流程
• Groups - 群聊行为和提及门控
• Channel Routing - 消息的会话路由
• Security - 访问模型和加固