如何防范其他编辑者访问风险 保障AppScript脚本安全

首先明确核心结论：自建自用/小范围共享的Apps Script Add-on不需要强制使用Google Workspace，普通免费Gmail账号即可完成全流程操作。只有当你需要把插件公开上架到Google Workspace Marketplace面向所有全球用户发布时，才需要满足对应发布要求，涉及Workspace相关的资质校验，私有使用场景完全无此限制。

前置准备要求 #

• 持有可正常访问Google服务的普通Google账号（免费Gmail账号即可，无需付费开通Workspace订阅）
• 提前整理好你需要做安全加固的自定义函数代码，把权限校验、参数校验、调用频率限制这类安全逻辑提前写好
• 如果需要把插件共享给其他用户使用，提前收集好对方的Google账号邮箱即可，不需要对方也开通Workspace

具体操作步骤 #

• 打开Apps Script编辑器，新建一个独立的脚本项目（不要把脚本绑定在单个表格/文档的容器内，否则无法作为Add-on部署）
• 将你完成安全逻辑编写的自定义函数代码粘贴到项目内，可按需补充常用安全逻辑：
  • 用Session.getActiveUser().getEmail()做调用用户白名单校验，只允许指定账号调用函数
  • 用PropertiesService存储单用户/单文档的函数调用计数，做频率限制避免被滥用
  • 对传入函数的所有参数做类型、格式校验，拦截恶意输入
• 点击编辑器右上角的「部署」按钮，选择「新建部署」，部署类型选择「插件（Add-on）」
• 按提示填写插件名称、功能描述、图标等基础信息，访问权限根据你的需求选择：
  • 个人自用选「仅我自己」，不需要走任何审核流程，部署后立即生效
  • 小范围共享选「特定用户」，添加你要共享的对方Google账号邮箱即可
• 部署完成后，打开你需要使用自定义函数的表格/文档，在顶部「扩展程序」菜单中找到你部署的私有插件，点击启用即可正常调用经过安全加固的自定义函数

注意：如果后续你需要将插件公开上架到公共插件市场，才需要走Google的官方审核流程，该流程要求提交Google Workspace相关资质，私有部署、小范围共享的场景完全不需要。

内容的提问来源于stack exchange，提问作者Al Yanko