未添加任何Scope，Google OAuth 2.0为何要求Web应用验证？

验证是否为必需？ #

是的，这个验证在你要公开发布应用的场景下是必需的。你虽然没手动添加任何Scope，但Google OAuth登录流程默认会包含openid、email、profile这几个基础Scope——这就是你能获取到邮箱、姓名、头像的原因。根据Google的政策，只要你的应用要面向公开用户开放登录（不是仅添加测试用户的测试阶段），哪怕使用的是非敏感基础Scope，也必须完成OAuth应用验证流程。

有无规避方法？ #

• 若你的应用仅服务于特定内部群体（比如自家公司、指定学校的Google Workspace域用户），可以把应用设置为内部应用，这种情况下无需完成公开验证。
• 如果必须面向全网用户，没有合法的完全规避方法，但可以优化验证流程：
  • 确保隐私政策明确说明仅收集邮箱和姓名，且用途清晰合规；
  • 提交验证时，清晰描述应用的使用场景和用户数据的处理方式，减少审核环节的疑问。

是否误解了要求？ #

你可能对“无Scope”的情况有误解：Google OAuth的登录流程不会真的完全无Scope，openid是必选基础Scope，同时默认会附带email和profile来返回基础用户信息。这些Scope虽不属于敏感/受限类别，但只要应用要公开上线，就需要通过验证来确保用户数据的处理符合Google的规范。测试阶段（仅允许添加的测试用户登录）不需要验证，但公开发布时必须完成。

内容的提问来源于stack exchange，提问作者Gascon Pardieu