Google Docs插件源码客户端安全及敏感数据处理最佳实践咨询

1. 代码部署与运行环境 #

Google Docs插件（属于Google Workspace插件）的代码分为两类，运行环境差异明显：

• 客户端代码：如果插件包含自定义UI（比如通过HtmlService创建的弹窗、侧边栏），这部分HTML、CSS、前端JS代码会下载到用户的浏览器端运行，和浏览器扩展类似，处于不可信环境。
• 服务器端代码：插件的核心业务逻辑（写在.gs格式的Apps Script文件中）是在Google的云端服务器上运行的，不会被下载到客户端，用户无法直接接触这部分代码。

2. 敏感数据处理方案 #

处理重要/敏感数据时，绝对避免在客户端直接处理，推荐以下两种安全方案：

• 优先通过Google Apps Script的服务器端函数接收敏感数据，在Google云端完成必要处理；如果需要和自有业务系统交互，再通过UrlFetchApp以HTTPS加密方式将数据转发到你的可信服务器。
• 若必须在客户端收集数据，仅做最基础的格式校验，立即通过安全的服务器端接口（比如Apps Script的doPost或已授权的函数）传递到后端，客户端不存储、不缓存敏感数据。

注意：客户端环境完全不可控，任何留在客户端的敏感数据都有被窃取、篡改的风险。

3. 源码的可见性与篡改风险 #

• 客户端代码：用户可以通过浏览器开发者工具查看插件的前端HTML、JS代码，甚至可以篡改本地运行的代码，但这种篡改仅作用于当前用户的会话，不会影响插件的官方部署版本，也不会波及其他用户。
• 服务器端代码：.gs文件中的逻辑完全运行在Google服务器上，用户无法查看或篡改这部分源码，即使是已安装插件的用户也没有权限访问。如果通过Google Workspace Marketplace发布插件，代码会经过Google审核，部署后源码对用户完全不可见。

内容的提问来源于stack exchange，提问作者David A.