Excel Add-In SSO本地正常，部署至组织后异常排查求助

针对你遇到的Excel Add-In部署至组织后出现的Microsoft.Online.RestServices.Common.Provider.Query.InvalidRequestException错误，结合本地侧载正常的情况，可从以下几个方向排查：

1. 核对Resource URI与Azure AD配置的一致性 #

确保清单中的<Resource>值api://xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx和Azure AD应用注册中的应用ID URI完全匹配：

• 检查URI是否存在多余的斜杠、拼写错误；
• 确认该URI已在Azure AD应用注册的"公开API"页面中添加并设置为有效。

2. 验证权限同意的有效性 #

虽然已完成管理员同意，但需确认：

• 清单中列出的所有权限（openid、email、offline_access、user.read、profile）均已在Azure AD企业应用的"权限"页面中显示为"已授予"状态；
• 部分组织可能限制offline_access这类权限的授予，需确认组织策略是否允许该权限。

3. 检查Azure AD应用注册的核心配置 #

• 确认应用注册的"身份验证"页面已勾选ID令牌（用于openid和profile范围的身份验证），并正确配置了适配Excel Add-In的重定向URI；
• 确保应用注册已被设置为允许组织内用户访问，且在企业应用列表中处于启用状态。

4. 确认清单中的应用ID正确性 #

核对清单<Id>标签内的GUID是否与Azure AD应用注册的应用程序(客户端)ID完全一致，任何字符差异都会导致身份验证请求失败。

5. 排查组织的Azure AD策略限制 #

部分组织会有自定义的应用同意策略，比如要求应用必须经过安全审核、禁止特定权限的同意操作。可联系组织的Azure AD管理员检查是否有相关策略阻止了该应用的同意流程。

内容的提问来源于stack exchange，提问作者Preston