企业专属应用使用Google敏感/受限API是否需OAuth验证及CASA评估？

用户问题 #

我方正在开发一款Web应用，需访问Google Drive及Gmail的敏感或受限范围API。该应用仅服务于企业用户，所有用户均持有Google Workspace邮箱（@company.com）。我们支持域级批量安装与个人用户自主授权两种模式（也可限定为仅域级安装），现咨询：是否仍需完成OAuth验证流程或由授权提供商执行的外部安全评估（CASA）？目前我方正评估该产品的可行性，暂无意在安全评估环节投入成本。

关键解答 #

• OAuth验证流程是硬性要求，必须完成：不管选择域级批量安装还是个人授权模式，只要应用要访问Google的敏感/受限范围API，就必须走完OAuth基础验证流程——包括验证开发者身份、配置应用隐私政策、填写应用使用说明等，这是Google API访问的准入门槛，没有豁免空间。
• CASA评估可豁免（仅限特定场景）：
  • 如果你们限定为仅域级批量安装，且应用仅在自家@company.com域内使用、不对外发布到Google Workspace Marketplace，那么可以申请豁免CASA外部安全评估，无需投入这部分成本。
  • 要是保留个人用户自主授权模式，哪怕用户都是自家域成员，只要涉及个人主动授权敏感API，就必须完成CASA评估，这部分成本没法规避。

可行性评估阶段建议 #

当前阶段可以先锁定"仅域级安装"的模式，这样既能满足企业用户的批量使用需求，又能省去CASA评估的成本，只完成基础OAuth验证就能推进开发和内部测试，待产品验证可行后再根据需求调整模式。

内容的提问来源于stack exchange，提问作者ashutosh56