Creates browser-safe OneDrive/…

# SharePoint「市场部」文档库浏览器端方案

一、架构提示（重要前置）

• 纯浏览器直连 Graph API 不推荐做后端：JS 代码可被用户查看，App 密钥会泄露。推荐架构：前端(浏览器) → 轻量代理层（如 Azure Functions / 你公司已有的服务）→ Graph API + Mem0。以下按此分层说明。

二、认证与权限校验

• 注册应用：Azure AD 中注册 App，配置 Files.ReadWrite.All、Sites.ReadWrite.All 等 Delegated 权限；20 用户的场景用 Delegated 权限 + OAuth 2.0 Code Flow，天然继承用户自身权限，不要用客户端密钥的 Client Credentials。
• 前端登录：用 MSAL.js 完成 PKCE 授权，获取 Access Token（仅前端持有，不含密钥）。
• 权限校验：
• Graph API 本身会校验用户对站点/文档库的权限，未授权用户直接 403，这是第一道防线；
• 业务层在代理层维护「20 人 → 角色」映射表（如市场部管理员可删、普通成员只读写自己的文件夹），用 sites/{siteId}/permissions 或 SharePoint 群组做基准。

三、文件上传下载（Graph API）

• 定位文档库：先查 GET /sites/{host}:/sites/市场部站点，再取该站点 drives 下「市场部」库的 driveId。
• 上传：
• 小于约 4MB（Graph 限制区间）：PUT /drives/{driveId}/root:/{path}/{file}；
• 大文件：创建 upload session，分片（建议 5–10MB/片）续传，前端做进度条。
• 下载：GET /drives/{driveId}/root:/{path}:/content，或取 @microsoft.graph.downloadUrl 临时直链给浏览器下载。
• 列表/搜索用 GET /drive/items/{id}/children 与 $filter/$search。

四、Mem0 接入

• Mem0 有云端 API 与自托管 SDK；API Key 必须放代理层，浏览器不持有。
• 用途建议：为每个文件生成摘要/元数据后 mem0.add() 存入，检索时 mem0.search() 做「文件语义搜索」；user_id 字段按用户或部门划分，便于隔离记忆。

五、实施清单

1. Azure AD 注册应用 + 配权限 + 管理员同意；

2. 部署轻量代理（Functions/Node），封装 Graph 与 Mem0 调用；

3. 前端用 MSAL.js 登录，实现上传（分片+进度）、下载、列表；

4. 代理层做角色校验 + 调用日志；

5. 20 用户量小，无需复杂限流，加基础并发与重试即可。