Google Calendar API请求多scope时授权复选框未自动勾选解决方案

这个现象是Google OAuth2授权页的内置风控逻辑导致的：CALENDAR_EVENTS属于Google划定的敏感类权限，https://www.googleapis.com/auth/userinfo.email属于OpenID Connect基础类权限，当两类权限同时出现在单次授权请求中时，系统会默认取消所有敏感权限的预勾选状态，强制要求用户手动确认，避免应用诱导用户非自愿授权敏感数据。单独申请敏感权限时不会触发这个规则，所以会保持默认勾选。

• 优先采用增量授权拆分权限申请流程，这是官方推荐的合规方案，授权转化率最高
  首次唤起授权页时只传CALENDAR_EVENTS单个核心scope，保证该权限默认勾选，用户完成核心日历权限授权后，在需要获取用户邮箱信息的业务节点，再单独发起增量授权申请邮箱权限。PHP客户端对应配置代码如下：

  // 全局开启增量授权配置，已授权的scope不会重复申请
  $client->setIncludeGrantedScopes(true);
  
  // 首次授权：仅传日历权限
  $client->setScopes([Google_Service_Calendar::CALENDAR_EVENTS]);
  // 后续需要邮箱权限时，单独发起授权，仅传邮箱scope即可
  // $client->setScopes(['https://www.googleapis.com/auth/userinfo.email']);
  

• 如果业务必须在单次授权请求中同时申请两个scope，需要完成Google Cloud Console侧的两个配置：
  1. 将OAuth同意屏的应用发布状态从「测试」切换为「生产」，测试阶段的应用申请多scope组合时，所有敏感权限默认不会预勾选
  2. 提交CALENDAR_EVENTS对应的敏感权限审核申请，按要求上传隐私政策链接、权限使用场景说明等材料，审核通过后，该权限和基础邮箱权限组合申请时会恢复默认勾选状态。未完成审核的敏感权限，只要和其他非同源scope组合申请，都会强制要求用户手动勾选。
• 检查授权请求参数，确认没有携带enable_serial_consent=true字段，该参数会强制将所有scope拆分为独立授权项，取消所有非基础权限的默认勾选，PHP客户端默认不会携带该参数，可以打印生成的授权URL做校验。

注意：不要尝试通过篡改请求参数、隐藏授权页元素等方式绕过勾选校验，这类操作会被Google OAuth风控系统识别，直接导致应用的API调用权限被限制。

内容的提问来源于stack exchange，提问作者I'm Root James