移除Google OAuth2客户端应用的权限范围会使现有令牌失效吗？

核心结论 #

移除应用配置中的google.calendar权限范围，不会直接导致现有用户的访问/刷新令牌失效，但后续使用令牌的权限会有明确变化，具体分场景说明：

1. 现有未过期的访问令牌 #

• 这类令牌依然保留用户最初授权的双范围（google.calendar + google.calendar.readonly）权限，在有效期内（通常1小时），调用日历读写API（比如创建、修改事件）依然有效，不会因为应用配置变更而被拦截。
• 只有当令牌过期后，通过刷新令牌获取新令牌时，才会涉及权限范围的调整。

2. 刷新令牌 #

• 刷新令牌本身不会失效，只要用户没有主动撤销对你应用的授权，就可以继续用来获取新的访问令牌。
• 如果刷新时不指定scope参数，默认会返回包含用户已授予的所有范围（即原双范围）的访问令牌——也就是说，依然能拿到读写权限。
• 如果你的应用在刷新访问令牌时明确指定仅google.calendar.readonly范围，那么新生成的访问令牌就只有只读权限，无法再调用读写API。

额外注意事项 #

• 若后续用户再次触发应用的授权流程（比如重新登录），会看到你更新后的权限申请（仅google.calendar.readonly），用户同意后，其授权记录会被更新，之后的刷新令牌就只能获取只读权限的访问令牌了。
• 如果你希望强制现有用户的令牌仅保留只读权限，最稳妥的方式是引导用户重新授权，或者在刷新令牌时主动指定scope=google.calendar.readonly参数。

内容的提问来源于stack exchange，提问作者memoricab