配置Google OAuth 2.0登录为何触发「管理通讯录」权限请求？

嘿，这个问题我之前帮不少开发者排查过，其实大概率是你在OAuth凭证配置或者登录请求环节不小心带上了通讯录相关的权限范围（scopes），下面给你拆解具体原因和解决办法：

• 权限范围（Scopes）指定错误：基础Google登录只需要openid、email、profile这三个核心范围就足够实现身份验证了。如果你的登录请求里不小心包含了https://www.googleapis.com/auth/contacts（读写通讯录）或者https://www.googleapis.com/auth/contacts.readonly（只读通讯录）这类scopes，Google就会自动弹出对应的权限申请。
• OAuth同意屏幕配置残留：在Google Cloud Console的「OAuth同意屏幕」设置里，如果你之前测试时添加过通讯录相关的权限范围，哪怕后来代码里改了，同意屏幕上的已授权范围没更新的话，也会导致权限请求弹窗出现。
• 第三方登录库的默认配置坑：如果你用了第三方登录库（比如Google Sign-In JS库、后端的auth SDK），部分旧版本的库可能默认包含了额外的scopes，或者你初始化库时没明确限定仅使用基础登录的范围，导致自动带上了通讯录权限。

• 修正登录请求的Scopes参数：确保你的代码里只指定openid、email、profile这三个scopes。举个前端代码的例子：

  google.accounts.oauth2.initTokenClient({
    client_id: '你的客户端ID',
    scope: 'openid email profile', // 仅保留这三个核心范围
    callback: (tokenResponse) => { /* 你的登录回调逻辑 */ }
  });
  

• 更新OAuth同意屏幕的权限范围：登录Google Cloud Console，找到你的项目 → 「API和服务」→「OAuth同意屏幕」，在「已授权的范围」列表里删除所有和通讯录相关的条目，只保留openid、email、profile，保存后生效。
• 清除测试账号的授权缓存：如果你的测试账号之前授权过这个应用的通讯录权限，需要登录Google账号的「安全」→「第三方应用访问权限」，找到你的应用并移除授权，重新测试就能看到正确的基础登录权限请求了。

内容的提问来源于stack exchange，提问作者user3296335