使用OAuth Playground完成多MCC账号对接Google API的认证可行性咨询

该方案完全可行，但你需要遵守以下几个前置要求和使用限制：

• 你的Google Cloud项目中创建的OAuth客户端ID必须为桌面应用类型，不能使用Web应用类型的客户端ID：Web应用类型的客户端ID生成的refresh token会绑定OAuth同意屏幕配置的重定向域名，后续服务端调用API时会触发域名校验报错，只有桌面应用类型的客户端ID生成的refresh token没有域名绑定限制，可正常用于离线API调用
• 你需要提前给授权账号开放权限：如果你的Google Cloud项目的OAuth同意屏幕处于测试模式，需要把对方用来授权的MCC管理员邮箱添加到OAuth同意屏幕的测试用户列表内，否则对方走授权流程时会提示无权访问该应用
• 授权时需要明确指定对应的API权限范围，上传离线转化至少要选择https://www.googleapis.com/auth/adwords这个范围，少选权限会导致后续调用API时报权限不足错误
• 生成的refresh token默认长期有效，只有出现对方主动撤销授权、你删除了对应OAuth客户端、连续6个月未使用该refresh token调用API这几种情况时，token才会失效，不需要频繁重新生成
• 该方案完全符合你不需要搭建授权页面的需求：你只需要把Client ID、Client Secret、需要授权的API范围告知对方的MCC管理员，对方自行完成授权后将生成的refresh token回传给你即可，全程对方不需要访问你的系统，你也不需要开放任何系统权限给对方

• 每个MCC账号生成的refresh token只能操作该账号及其关联的子账号，不能跨未关联的MCC账号使用，不同代理商的MCC账号需要分别生成对应的refresh token
• refresh token属于高敏感凭证，你需要和其他密钥一样做加密存储，禁止明文存储或对外泄露，出现泄露风险时可以通知账号持有者直接撤销授权即可规避风险

内容的提问来源于stack exchange，提问作者Shlo