已配置对应权限但访问Excel工作簿时报错无法获取WAC access token求助

这个报错的核心原因是调用Microsoft 365 WAC（云端Office在线查看服务）的身份校验环节没通过，拿不到合法的访问令牌，请求压根没走到读取Excel工作簿的环节，按下面的点挨个排查基本能定位问题：

权限配置类常见问题 #

• 别搞混委派权限和应用权限的适用场景：如果是服务端跑脚本/后台程序、无用户上下文的调用，光配委派权限根本过不了WAC的校验，必须补对应场景的应用级权限；而且所有权限改完一定要找租户管理员点同意，没走同意流程的权限等于白配
• 避免出现权限范围错配：比如只给了个人OneDrive的文件读取权限，但要访问的是SharePoint站点里存储的Excel，跨资源范围的权限调用，授权服务器会直接拦截、不给签发token
• 别漏了WAC的专用准入权限：不少租户会单独给WAC服务设置独立的权限开关，没开这个的话，哪怕文件读取权限配全了，也会被WAC直接挡在外面
• 对照已列好的权限清单逐项核对，别出现选了低版本权限、漏选关键权限的低级错误

取token的请求参数类问题 #

• 获取令牌的时候scope一定要拼对：WAC场景下必须把WAC服务对应的资源范围写进scope参数里，漏了这个的话，Azure AD根本不会签发能用来调WAC的专用令牌
• 核对填写的租户ID、客户端ID是否准确：尤其是多租户应用调用单租户资源的时候，要是租户ID填的不是文件实际所属的租户，会直接触发签发失败
• 检查使用的身份凭证（客户端密钥/上传的证书）有没有过期：如果租户刚轮换了密钥、本地配置的证书快到期了，连身份校验都过不了，自然拿不到token

租户策略与网络连通性问题 #

• 查看租户的条件访问策略有没有限制服务端出口IP：很多租户会开启位置访问限制，把跑程序的服务端出口IP加到策略排除列表里即可
• 测试网络连通性：确认服务端能正常访问WAC服务端点、Azure AD认证端点，避免被防火墙、出站代理拦截请求，或是篡改请求头导致校验失败
• 核对租户全局策略：如果租户开了“禁止第三方应用访问云端Office文件”的开关，所有WAC的token请求都会被直接拒绝

临时类问题排查 #

• 如果是刚改完权限就测试报错，等15-30分钟再试，Azure AD的权限同步存在缓存延迟，不是改完立刻生效
• 如果服务端配置了出站代理，检查下代理有没有把请求重定向到错误的认证地址

内容的提问来源于stack exchange，提问作者radhika gopi