通过Microsoft Graph API更新SharePoint Excel遇403权限问题求助

我用Python的msal库调用Microsoft Graph API，可正常读取SharePoint中的Excel文件，但更新操作始终失败。已为应用配置Files.ReadWrite.All权限，解码token后也能看到该权限在角色列表内：

{
    ...
    "roles": [
        "Files.ReadWrite.All"
    ]
    ...
}

应用权限配置见截图：

发送PATCH请求传递更新内容时，仍收到403 AccessDenied错误，提示无法执行操作。更新的JSON结构在Graph Explorer中可正常运行，排除结构问题。疑似权限缺失，但无法定位具体问题，该如何排查？

更新1：相关代码 #

客户端实例生成 #

client = msal.ConfidentialClientApplication(
    client_id
    ,authority = authority
    ,client_credential = client_secret
)

Token请求 #

tk = client.acquire_token_for_client(scopes = ['https://graph.microsoft.com/.default'])

HTTP请求 #

requests.request(
    method = 'PATCH'
    ,headers = {'Authorization': 'Bearer ' + tk['access_token']}
    ,url = 'https://graph.microsoft.com/v1.0/sites/{}/drive/items/{}/workbook/worksheets(\'{}\')/range(address=\'B2:C{}\')'.format(CONFIGS['app']['sharepoint_id'], CONFIGS['app']['workbook_id'], sheet, (CONFIGS['app']['nRows'] + 1))
    ,json = {...}
)

清空单元格的JSON格式：

{
    "values": [
        ["", ""]
    ],
    "formulas": [
        [null, null]
    ],
    "numberFormat": [
        [null, null]
    ]
}

更新2：补充权限配置 #

已配置Files API下所有读写权限，仍报403错误：

• 确认权限已获管理员同意：检查Azure AD中应用的权限状态，确保Files.ReadWrite.All及其他已配置权限处于「已授予管理员同意」状态，仅添加权限未授予同意的话，token内权限不会生效。
• 验证Token有效性：确认token的aud（受众）为https://graph.microsoft.com，azp（客户端ID）与应用ID一致，避免使用错误应用获取的token。
• 检查文件/站点权限限制：即使应用有全局权限，SharePoint站点或文件可能存在单独的拒绝规则。用管理员账号在Graph Explorer中访问该文件，确认无特殊权限限制。
• 校验API端点格式：确认PATCH请求的端点格式正确，尤其是worksheet的引用（显示名称/ID是否匹配、特殊字符是否正确转义），避免因端点错误导致权限验证失败。
• 切换权限类型测试：尝试使用Delegated权限（如Files.ReadWrite）在Graph Explorer中测试更新操作。若成功，说明部分Workbook操作可能依赖Delegated权限，或需要补充Sites.ReadWrite.All站点级应用权限。
• 添加站点级权限：SharePoint文件的Workbook操作可能依赖站点权限上下文，尝试添加Sites.ReadWrite.All应用权限并授予管理员同意后重试。
• 查看详细错误信息：打印403错误的完整响应内容，error.details字段会说明具体拒绝原因（如权限不足、文件锁定等），根据提示针对性排查。

内容的提问来源于stack exchange，提问作者Mark