Google OAuth CASA Tier-2验证：是否需扫描移动端应用？

结论：不需要对iOS和Android移动端应用进行扫描

理由如下：

• 聚焦核心扫描范围：CASA Tier-2验证的扫描目标是直接处理受限OAuth范围、调用敏感API的组件。你的架构中，仅REST API完成完整OAuth流程并调用Gmail受限API，移动端仅作为前端交互载体，未直接以敏感/受限方式与Gmail API交互，不属于扫描覆盖对象。
• 匹配Google OAuth验证逻辑：受限范围的风险评估核心是"谁在处理敏感权限流转与API调用"。当所有业务逻辑（包括OAuth流程、Gmail API调用）都在服务端实现时，移动端不涉及敏感权限的处理或敏感API的直接调用，因此无需纳入扫描范围。
• 实操建议：可以主动向TAC Security说明架构细节，提供移动端仅负责前端展示、无敏感API交互的佐证（比如接口调用记录、核心逻辑代码片段），进一步确认无需扫描的判定。

内容的提问来源于stack exchange，提问作者Swapnil Nakade