向谷歌应用集成新OAuth同意范围的合规流程咨询

一、新增范围的核心步骤 #

• 登录谷歌云控制台，找到应用的OAuth同意屏幕配置，将https://mail.google.com/和https://www.googleapis.com/auth/gmail.metadata添加到已授权范围列表
• 更新应用代码：调用Gmail API时带上新增范围，同时保留原有的Drive范围，确保现有功能不受影响
• 在测试环境完成全流程验证：检查授权环节是否正常弹出新权限申请提示，确认Gmail API调用能正常获取目标数据
• 准备配套合规文档：明确说明应用使用Gmail数据的具体场景、数据存储/处理方式、用户隐私保护措施，用于后续验证审核

二、合规要求与重新验证说明 #

• 必须提交重新验证申请：你要添加的https://mail.google.com/属于谷歌认定的高度受限范围，https://www.googleapis.com/auth/gmail.metadata属于受限范围，已通过验证的应用新增这类权限，必须走重新验证流程
• 提交材料需满足以下标准：
  • 场景描述要具体：不能模糊写“处理邮件”，要明确到“同步邮件元数据生成任务提醒”“将指定邮件归档至Drive”这类实际用途
  • 提供功能截图：展示应用内触发Gmail操作的入口、权限申请弹窗的完整内容
  • 更新隐私政策：明确标注收集Gmail数据的类型、用途、存储期限，以及用户删除数据的方式
  • 避免过度申请权限：如果仅需元数据，需说明必须使用全邮箱权限（mail.google.com/）的原因，能精简就精简，降低审核风险

三、现有验证资格的影响 #

• 审核期间，已授权的老用户不受影响：仍可正常使用原Drive相关功能，不会被强制重新授权
• 新用户或需重新授权的用户，会看到“未验证应用”提示，但这不会直接取消原Drive范围的验证资格
• 若申请被拒，按照谷歌反馈修改后重新提交即可，只要不是多次违规，不会直接废除原有验证资质

内容的提问来源于stack exchange，提问作者Amol Patil