分享Google脚本触发未验证警告，是否需进行应用验证？

为什么别人用你的脚本会触发警告，自己写的不会？ #

• 当你自己编写并运行脚本时，Google将其视为你本人发起的可信操作，默认信任你对自己账号权限的请求，因此不会弹出验证警告。
• 当他人粘贴你的代码到自己的脚本编辑器运行时，脚本的权限请求是以对方账号的身份发起，但代码属于“非本人从零编写的外部来源”，再加上你使用的forms、drive、documents等都是涉及用户敏感数据的高权限作用域，Google的安全机制会判定这是潜在的风险操作，从而弹出“未验证应用”警告，提醒用户确认是否信任该脚本。

是否必须进行应用验证？ #

这取决于你的分享范围：

• 小范围分享（熟人/内部团队）：不需要官方验证。对方在警告页面点击「高级」，选择「继续访问（不安全）」（该选项仅针对个人信任的脚本）即可正常运行。
• 大范围公开分享：如果要给陌生用户使用或作为公共工具分发，必须完成Google的应用验证流程。验证通过后警告会消失，提升用户体验，但需要提交应用详情、隐私政策等材料，流程较为繁琐。

额外提示 #

可以检查脚本是否真的需要所有声明的作用域：比如如果不需要修改表单，仅读取提交内容，可以尝试用https://www.googleapis.com/auth/forms.readonly代替全权限的forms作用域，精简权限能降低安全机制的风险判定等级，但你的场景（生成PDF）大概率需要当前的全权限，所以这条仅供参考。

内容的提问来源于stack exchange，提问作者Raffi