核心用法
本技能通过 Microsoft Graph API 实现与 SharePoint 文档库的安全交互，采用证书认证（Certificate Auth）替代传统密钥，配合 Sites.Selected 权限实现最小权限原则。支持完整的文件生命周期管理：目录浏览、上传下载、创建删除，以及针对 Office 文档的智能文本提取。
文档处理能力是显著亮点：无需安装 Microsoft Office 即可解析 .docx（mammoth）、.xlsx（exceljs）、.pptx（jszip）及 .pdf（pdf-parse），输出纯文本供 AI 进行摘要生成、格式化重组或行动项提取。
显著优点
- 安全架构扎实：证书认证 + Sites.Selected 的组合有效规避了密钥泄露风险，路径遍历防护（
../拦截）和删除确认机制（--confirm）体现纵深防御思维 - 企业环境友好：与 Entra ID（原 Azure AD）原生集成，适合已有 Microsoft 365 生态的组织
- AI 工作流适配：文本提取输出格式统一，可直接接入 LLM 处理管道
潜在局限
- 部署门槛较高：需独立配置 Entra 应用、生成证书、执行 PowerShell 授权脚本，对非 Azure 生态用户形成认知负担
- Node.js 依赖链：依赖 8 个 npm 包，长期维护需关注供应链安全
- 功能边界清晰：定位"文档网关"而非完整 DMS，不支持版本历史、权限细粒度管理、协同编辑等企业级功能
适合人群
- 需要在 AI 工作流中批量处理 SharePoint 存储的 Office 文档的开发者/数据团队
- 已采用 Microsoft 365 且具备 Azure 基础运维能力的中小型企业
- 对"密钥即秘密"安全模型有强顾虑的合规敏感型组织
常规风险
| 风险类别 | 具体表现 | 缓释建议 |
|---------|---------|---------|
| 配置错误 | Sites.Selected 未正确限制导致越权 | 定期审计 Graph API 权限授予 |
| 证书管理 | 私钥文件权限过宽或明文传输 | 使用 Azure Key Vault 托管，禁止写入权限 |
| 供应链 | npm 包历史漏洞（如 jszip 原型污染） | 锁定版本 + `npm audit` 入 CI |
| 数据残留 | 本地临时文件未清理 | 容器化运行 + 只读根文件系统 |