以访问用户身份执行的WebApp可否通过UrlFetchApp传参完成授权？

首先明确结论：无法仅通过UrlFetchApp携带自定义参数的方式完成该模式WebApp的授权校验

核心原因 #

• 该部署模式的WebApp身份校验由Google服务层完成，基于Google账号OAuth2认证逻辑，自定义URL参数、请求头字段不会被识别为有效身份凭证，未授权请求会直接被拦截，不会进入你编写的WebApp业务逻辑。
• 你的使用场景（作为第三方服务的webhook接收回调）本身不适配该部署模式：第三方短信服务无法持有合法的Google账号身份凭证完成授权流程，请求必然会被拦截。

适配你需求的落地方案（满足不开放表格权限、不允许匿名访问WebApp的要求） #

1. 修改WebApp部署配置：将执行身份改为「以我（部署者）身份执行」，访问权限设置为「仅我自己」。该模式下WebApp运行时使用你的权限操作电子表格，既不需要对外开放表格编辑权限，也不需要给匿名用户开放WebApp访问权限。
2. 自行加一层请求校验：在WebApp的doPost逻辑中增加密钥校验，要求所有请求必须携带你预设的私密密钥，只有密钥匹配的请求才会执行后续的写入表格操作，不匹配的直接返回403状态。示例逻辑参考：

function doPost(e) {
  // 你自己预设的随机密钥，不要泄露给其他人
  const PRESET_SECRET = "你生成的高强度随机字符串";
  // 校验请求携带的密钥
  if (e.parameter.secret_key !== PRESET_SECRET) {
    return ContentService.createTextOutput(JSON.stringify({status:"forbidden"})).setMimeType(ContentService.MimeType.JSON).setStatusCode(403);
  }
  // 后续写入表格的业务逻辑
  // ...
}

3. 给第三方短信服务配置webhook地址时，直接在WebApp地址末尾带上你的密钥参数即可，示例：https://script.google.com/macros/s/你的部署ID/exec?secret_key=你预设的密钥

补充：Google生态内调用该模式WebApp的唯一合法授权方式 #

如果你是在Google服务内部通过UrlFetchApp调用该模式的WebApp，可以通过携带调用者OAuth2令牌的方式完成授权，要求调用账号已经获得WebApp的访问权限，示例代码如下：

function callRestrictedWebApp() {
  const webAppUrl = "你的WebApp访问地址";
  // 获取当前调用账号的OAuth2令牌
  const accessToken = ScriptApp.getOAuthToken();
  const response = UrlFetchApp.fetch(webAppUrl, {
    headers: {
      "Authorization": `Bearer ${accessToken}`
    },
    muteHttpExceptions: true
  });
  console.log(response.getContentText());
}

该方式仅适用于Google生态内的服务调用，完全不支持第三方webhook场景。

内容的提问来源于stack exchange，提问作者Code Guy