如何在批准访问权限前审查 OAuth 应用权限

OAuth 批准请求看起来可能无害，因为屏幕上显示的是"连接"、"允许"和"继续"。在公司账户中，点击该按钮所授予的访问权限可能远超人们的预期。我曾审查过一些应用，它们本只需要日历读取权限，却要求获取完整的邮箱访问权限、离线令牌以及管理文件的权限。没有人是故意粗心大意，只是批准屏幕让这种风险看起来很正常。 在批准新的 OAuth 应用之前，我会根据实际用例检查其作用域（scopes）。如果一个日程安排工具只需要空闲/忙碌状态数据，它就不应该读取完整的电子邮件内容。如果一个分析连接器只需要导出一份报告，它就不应该获得整个工作区的管理员权限。宽泛的作用域有时不可避免，但必须有明确的负责人和理由。 第二项检查是令牌的生命周期和撤销机制。有些应用会永久保留刷新令牌。如果供应商规模较小，或者应用是由承包商使用的，我会确认谁有权在后续移除访问权限，以及移除操作是否真的能使旧令牌失效。我还会查看该应用…