调用Google Contacts API触发未验证应用警告 同配置项目运行正常

常见触发原因 #

你碰到的“两个项目配置完全一致、却只有一个弹出未验证警告”的情况，本质是两个项目存在未对齐的隐形配置差异，并非Google服务随机故障，核心触发点包括：

• 对敏感scope的判断存在偏差。Google Contacts API对应的核心权限（contacts.readonly、contacts全量读写）本身就属于Google划定的敏感权限范畴，和你有没有在OAuth Consent Screen配置页手动添加这些scope没有关系——SDK在实际发起授权请求时，会根据调用的接口自动注入对应权限的scope列表。就算你在配置页完全没录入任何scope，只要请求里带了敏感权限，未完成验证的应用就会触发未验证弹窗。你提到的运行正常的项目，大概率是历史授权流程已经缓存了该scope的授权状态，跳过了弹窗判断逻辑。
• OAuth用户类型配置错位。如果运行正常的项目用户类型设为“内部”（绑定对应Google Workspace组织域），同组织内的用户授权不会触发未验证警告，哪怕使用敏感scope也直接走内部授权流程；而出问题的项目如果用户类型设为“外部”，哪怕其他配置完全一致，只要带敏感scope且未完成官方验证，就会触发全量的未验证弹窗。
• 应用发布状态不一致。你可能在某次配置操作中，不小心把出问题的项目从“测试”状态切到了“正式发布”状态，又没有完成后续的验证流程，这种状态下所有外部用户访问都会触发高优先级的未验证警告；而运行正常的项目还停留在“测试”发布状态，只要你把自己的测试账号提前加到测试用户列表里，哪怕用敏感scope也只会弹普通的第三方授权提示，不会显示醒目的“Unverified”警告。
• 客户端ID历史状态差异。新创建的、没有任何有效授权记录的OAuth客户端ID，对scope的校验规则更严格，只要检测到请求携带敏感scope就会触发未验证提示；而老的、存在过正常授权记录的客户端ID，在校验时会跳过部分触发逻辑，相同配置下不会弹出警告。

排查与解决步骤 #

按照以下优先级逐项核对，即可定位并解决异常：

• 先核对实际请求携带的scope：不要只依赖Google Console的配置判断，跳转到OAuth授权页时，在地址栏的跳转URL里找到scope参数，确认实际请求的权限列表。如果确实包含Contacts API对应的敏感scope，要么在OAuth同意屏的Scope配置模块把这些权限手动录入，要么在代码里调整权限范围，只请求满足业务需求的最小非敏感scope（比如只需要获取联系人邮箱的场景，用userinfo.email这类非敏感scope即可）。
• 核对OAuth同意屏的核心配置：
  • 企业内部使用的场景，直接把用户类型切换为“内部”，同组织内的账号授权无需走公开验证流程，也不会触发未验证弹窗
  • 必须使用外部用户类型的场景，确认应用发布状态处于“测试”档位，同时把你测试用的Google账号添加到测试用户列表，不要误点“发布应用”进入未验证的正式发布状态
• 清除本地授权缓存：删除代码目录下缓存的本地授权凭证文件（一般为token.json这类持久化存储的授权记录），同时在Google账号的第三方应用授权列表里，删除出问题项目对应的旧授权记录，避免旧的缓存状态触发已废弃的未验证弹窗
• 如果以上配置核对后仍存在异常，直接创建全新的OAuth客户端ID，替换掉代码里的旧客户端ID——排除新客户端ID的严格校验逻辑带来的异常

内容的提问来源于stack exchange，提问作者Riftabin Kabir