使用POP3/SMTP的XOAuth2应用如何通过Google审核？

核心技术前提明确 #

Google的POP3/SMTP协议通过XOAuth2认证时，仅支持https://mail.google.com/这一个权限范围，gmail.readonly或gmail.send等细分权限无法兼容这两个协议，这是技术层面的硬性限制，必须在审核申请中明确说明。

针对性优化审核申请材料 #

• 清晰陈述必须使用POP3/SMTP的客观原因：比如对接现有遗留系统、兼容特定硬件/客户端、用户业务流程强制要求等，避免模糊表述，让审核团队理解无法迁移到Gmail API的必要性
• 明确界定应用的实际操作范围：说明应用仅通过POP3/SMTP执行读取收件箱、发送邮件等基础操作，不会使用mail.google.com权限附带的“绕过垃圾箱永久删除”等高级功能
• 提供操作演示证据：附上应用实际使用POP3/SMTP的流程截图或录屏，证明应用未调用任何超出POP3/SMTP功能的权限

补充合规性材料 #

• 提交符合要求的隐私政策：明确说明用户邮件数据的处理方式（如仅做中转、不存储、处理后立即销毁等），确保符合Google的数据隐私规范
• 说明授权流程细节：强调仅在用户主动发起操作时请求权限，无静默授权、强制授权等行为

主动跟进审核沟通 #

如果审核处于待处理状态，通过Google Cloud Console的审核沟通通道，主动补充上述信息，再次强调技术限制（POP3/SMTP仅支持mail.google.com权限）和应用的权限实际使用范围，推动审核团队重新评估。

内容的提问来源于stack exchange，提问作者taro yamada