Excel插件SSO弹窗异常：求合适的MS Entra ID重定向URL配置方案

核心问题分析 #

你在O365云环境下开发的Excel插件，已登录域用户本该实现静默SSO，但流程中出现短暂弹窗；配置https://login.microsoftonline.com/common/oauth2/nativeclient后又出现空白弹窗，本质是重定向URL未匹配Office Web插件的OAuth2适配要求。

正确的重定向URL配置方案 #

1. Office插件专用重定向URL格式 #

对于云运行的Excel Web插件，必须使用Office指定的回调页面URL，而非通用原生应用URL或插件主页面：

• 格式：https://<你的插件部署域名>/auth-callback.html
  其中auth-callback.html是专门用于处理MSAL授权回调的空白页面，仅需包含回调逻辑，无需业务内容。

2. 回调页面auth-callback.html示例 #

<!DOCTYPE html>
<html>
<head>
    <script type="text/javascript" src="https://alcdn.msauth.net/browser/2.38.0/js/msal-browser.min.js"></script>
</head>
<body>
    <script type="text/javascript">
        const msalInstance = new msal.PublicClientApplication({
            auth: {
                clientId: "你的Entra ID应用客户端ID"
            }
        });
        msalInstance.handleRedirectPromise().then(authResult => {
            if (authResult) {
                // 将授权结果传递给插件主页面
                Office.context.ui.messageParent(JSON.stringify({
                    type: "authSuccess",
                    account: authResult.account,
                    accessToken: authResult.accessToken
                }));
            }
        }).catch(error => {
            Office.context.ui.messageParent(JSON.stringify({
                type: "authError",
                error: error.message
            }));
        });
    </script>
</body>
</html>

3. 登录代码优化建议 #

原代码的loginPopup易触发弹窗，建议替换为loginRedirect配合回调页面，同时完善静默登录失败后的处理逻辑：

async function signIn(msalConfig, scopeArray) {
    if (!msalClient) {
        msalClient = new msal.PublicClientApplication(msalConfig);
    }

    if (msalRequest.scopes.length === 0) {
        msalRequest.scopes = [...scopeArray];
    }

    let authResult = null;
    const account = msalClient.getActiveAccount();

    try {
        if (account) {
            authResult = await msalClient.acquireTokenSilent({
                account: account,
                scopes: msalRequest.scopes
            });
            traceLog(`signIn`, `复用已登录账户：${account.username} ${account.name}`);
        } else {
            // 使用重定向而非弹窗，适配Office插件环境
            await msalClient.loginRedirect({
                scopes: msalRequest.scopes,
                redirectUri: msalConfig.auth.redirectUri // 指向auth-callback.html
            });
        }
    } catch (error) {
        // 仅在确实需要交互时触发重定向
        if (error instanceof msal.InteractionRequiredAuthError) {
            await msalClient.loginRedirect({
                scopes: msalRequest.scopes,
                redirectUri: msalConfig.auth.redirectUri
            });
        } else {
            traceLog(`signIn错误`, error.message);
            throw error;
        }
    }

    if (authResult) {
        msalClient.setActiveAccount(authResult.account);
    }
}

Entra ID应用配置要点 #

• 在Entra ID应用的身份验证页面，添加https://<你的插件部署域名>/auth-callback.html作为重定向URL，类型选择单页应用(SPA)。
• 启用隐式流混合流：在"高级设置"中勾选"ID令牌"和"访问令牌"，Office插件依赖该流完成SSO。
• 移除https://login.microsoftonline.com/common/oauth2/nativeclient，该URL仅适用于桌面/移动原生应用，不兼容Web插件场景。

弹窗问题根源解释 #

• 使用插件主页面作为重定向URL时，MSAL回调会短暂加载该页面，导致出现弹窗；专用空白回调页面加载极快，几乎无感知。
• loginPopup在Office插件环境中易触发浏览器弹窗拦截逻辑，loginRedirect更适配Office的SSO流程，能避免不必要的弹窗触发。

内容的提问来源于stack exchange，提问作者Andrew Tyson