如何在无用户交互的服务器任务中获取Microsoft Graph委托权限更新在线Excel表

核心结论 #

要在服务器端无交互执行需要Delegated (work or school account)权限的Graph Excel写入操作，必须绑定一个合法的Microsoft用户身份，最可行的方案是使用授权码流程+刷新令牌，而非On-behalf-of流程。

1. 授权码流程+刷新令牌（推荐） #

• 操作步骤：
  1. 为你的Azure AD应用配置offline_access权限，以及Excel所需的委托权限（如Files.ReadWrite）。
  2. 用专门的服务账号手动完成一次登录，通过授权码流程获取初始访问令牌和刷新令牌。
  3. 服务器端存储刷新令牌，后续定期调用令牌端点，用刷新令牌换取新的访问令牌，全程无需用户交互。
• 关键说明：刷新令牌默认有效期90天，每次换取新令牌时会自动续期（只要应用和用户状态正常），可长期维持无交互运行。

2. 关于On-behalf-of流程的澄清 #

• OBO流程的设计场景是服务间身份传递（比如前端用户授权后端API，后端再以用户身份调用Graph），它无法独立实现无交互后台运行，因为依赖上游传入的用户访问令牌，不适合定时同步场景。
• 你提到的“保留令牌持续刷新”是授权码流程的特性，和OBO流程无关。

3. 替代方案（若不想绑定特定用户） #

• 借助Power Automate/Logic Apps：让微软低代码服务负责Excel与数据库的同步，你的服务器仅需提供数据或触发任务，这类服务内置权限处理，无需手动管理令牌。
• 申请应用权限豁免（不推荐）：企业级场景可向微软申请将Excel写入操作开放为应用权限，但审批流程复杂、耗时久，仅适合特殊需求。

内容的提问来源于stack exchange，提问作者Scott Bowles