如何防止查看者通过Apps Script获取共享Google表格隐藏工作表数据

大家通常配置的「设置为查看者权限、取消勾选查看者/评论者的下载、打印、复制选项」，本质上只是前端UI层面的操作拦截，完全不会对后端接口的访问权限做校验，这也是为什么即使做了这些配置，查看者只要写几行Apps Script，就能直接读取表格全量单元格数值——哪怕是被手动隐藏的工作表，也会被脚本直接遍历到。对应的风险示例代码如下：

function grabValues(){
  const ss = SpreadsheetApp.openById(sheetId);
  const sheet = ss.getSheetByName(sheetName);
  const data = sheet.getRange(1,1,sheet.getLastRow(),sheet.getLastColumn()).getValues();
  Logger.log(data);
}

必须明确：工作表隐藏只是前端把工作表标签做了UI遮挡，不是安全控制能力，没有任何后端权限拦截作用，仅靠这个功能完全防不住脚本越权访问。

可落地的防范措施按防护强度从高到低排序：

• 彻底拆分数据存储：把包含敏感内容的工作表从原公开表格中独立出来，存为权限完全独立的Google表格。原公开表格只保留允许对外展示的内容，两个表格通过IMPORTRANGE函数做公开数据的同步联动，敏感表格的访问权限仅授予完全信任的账号，不开放给任何外部查看者。这种方式下，查看者根本拿不到敏感表的文件ID，脚本调用时会直接触发权限校验失败，从根源上切断泄露路径。
• 关闭脚本接口访问开关：如果因为业务原因没法拆分表格，可以进入表格的「设置」-「开发者设置」，关闭「允许用户使用Apps Script连接到这个电子表格」选项。这个开关默认开启时，所有拥有查看权限的用户都能通过脚本API读取表格全量数据；关闭后，非授权用户的脚本调用会直接被权限层拦截，同时不会影响表格所有者在内置脚本编辑器中运行的自动化功能。
• 用受保护范围替代工作表隐藏做隔离：如果必须在同一个表格内混合存储公开和敏感数据，不要用隐藏工作表的方式做隔离，直接选中所有敏感数据所在的单元格区域，通过「数据」-「受保护的范围」功能设置查看/编辑权限，仅允许指定授权账号访问该区域。这种配置下，非授权用户哪怕通过脚本调用拿到了表格对象，读取受保护范围时也会被权限层拦截，无法获取实际存储的敏感值。

内容的提问来源于stack exchange，提问作者misnomeR