所有Google API都需OAuth2认证？是否仅适用于客户端侧应用？

你当前使用的服务端API Key调用方式不会被停止服务，相关认证调整的规则边界非常明确，不需要做OAuth2迁移。
你当前的调用形式为服务端直连模式，示例请求如下：

https://maps.googleapis.com/maps/api/distancematrix/json?units=imperial&origins=STARTING_ADDRESS&destinations=DESTINATION_ADDRESS&key=MY_GOOGLE_API_KEY

响应由你的服务端直接消费处理，不属于本次强制OAuth2改造的覆盖范围。

具体认证规则边界 #

• 长期保留API Key支持的场景：所有服务端到服务端的调用（即请求从你的自有后端服务器发起，API Key不暴露给终端用户，响应由后端直接处理），这类场景下API Key是官方推荐的认证方式，不会下线。你只需要给API Key配置出口IP白名单限制、仅开通需要的API权限、避免密钥泄露即可正常使用。
• 要求切换OAuth2的场景：仅覆盖客户端侧直接调用Web Service接口的行为，也就是请求直接从终端用户的浏览器、移动端设备发起，不经过开发者自有后端中转的调用。这类场景之前普遍存在API Key泄露被盗刷的问题，Google才要求这类调用要么迁移到OAuth2认证，要么改用对应平台的官方Maps SDK、同时给API Key配置对应的HTTP来源、应用签名等客户端侧访问限制，未做调整的客户端直连调用后续会被拦截。

给你的使用建议 #

不需要调整现有认证逻辑，只需要做好API Key的安全配置即可：

• 给当前使用的API Key绑定服务出口IP白名单，拒绝非你自有服务IP发起的调用
• 给该Key仅开通Distance Matrix API的调用权限，不要关联其他不需要的Google Maps服务
• 严禁将该服务端专用API Key写入前端代码、移动端安装包等可被终端用户获取的位置

内容的提问来源于stack exchange，提问作者Terry Carmen