如何限制Google Apps Script Web App仅访问单个Google表格？

要缩小Web App的权限范围，你可以从权限清单配置和代码严格控制两个层面入手，以下是具体方法：

1. 手动配置权限清单（缩小OAuth范围） #

默认情况下，Apps Script会自动请求宽泛的https://www.googleapis.com/auth/spreadsheets权限（允许访问所有表格），你可以手动指定更精准的范围：

• 打开Apps Script项目，点击右上角设置图标，勾选「显示appsscript.json清单文件」
• 编辑appsscript.json，修改oauthScopes数组：

  {
    "oauthScopes": [
      // 仅需要读取权限时用这个
      "https://www.googleapis.com/auth/spreadsheets.readonly",
      // 需要读写权限时替换成下面的
      // "https://www.googleapis.com/auth/spreadsheets",
      "https://www.googleapis.com/auth/script.webapp.deploy"
    ],
    // 保留其他原有配置
  }
  

  注意：Google OAuth系统目前没有完全细化到单个表格的权限范围，但配合代码层面的限制，可以实现实际的访问隔离。

2. 代码中严格限定目标表格 #

即使权限范围是宽泛的，只要代码只操作指定表格，就能从逻辑上限制访问：

• 始终通过固定的表格ID打开目标表格，避免使用全局的SpreadsheetApp.getActiveSpreadsheet()（如果是绑定到目标表格的脚本，可直接用这个方法，绑定脚本本身就关联单个表格）：

  // 替换成你的目标表格ID
  const TARGET_SHEET_ID = "你的表格ID";
  
  function doGet(e) {
    const targetSheet = SpreadsheetApp.openById(TARGET_SHEET_ID).getSheetByName("Sheet1");
    // 仅对该表格执行读写操作
    // ... 你的业务代码
  }
  

• 如果脚本是绑定到目标表格的（不是独立脚本），部署Web App时的权限提示会更贴合，因为绑定脚本默认关联该表格。

3. 服务账号权限隔离（进阶方案） #

如果需要彻底的权限隔离，可使用Google Cloud服务账号：

• 在Google Cloud控制台创建服务账号，生成密钥文件
• 在目标表格的共享设置中，添加服务账号邮箱，授予编辑/查看权限
• 在Apps Script中通过服务账号身份验证访问表格，此时Web App的权限完全由服务账号的权限决定，不会关联你的个人Google账户

这个方案步骤较多，但权限隔离最彻底，适合高安全要求的场景。

内容的提问来源于stack exchange，提问作者Reverend Speed