OAuth Scope 速查表：Google、GitHub、Microsoft、Slack 等 60+ 条权限一览

通过 OpenID Connect 验证用户身份，获取包含 sub（用户 ID）和标准 OIDC claim 的 ID token。

• "用 Google 登录"——基础认证只需要这一个 scope。
• 联合身份：用 Google 做 IdP，不用自己存密码。
• 接入自家 app 的单点登录（SSO）。

通常配合 profile 或 email 一起申请；单独申请 openid 只能拿到 sub。

读取用户基本信息：姓名、头像 URL、语言区域和 Google 账号 ID。不含邮箱地址。

• 登录后展示用户名和头像。
• 根据用户语言区域偏好做 UI 本地化。
• 通过 Google 账号 ID 识别回访用户。

读取用户的 Google 邮箱地址及其验证状态。

• 用邮箱地址在自家数据库里标记用户账号。
• 通过自己的 SMTP 发邮件（不是代表 Google 发）。
• 注册流程中预填邮箱字段。

读取所有 Gmail 邮件、会话、标签和设置。不能发送、修改或删除任何内容。

• 邮件分析：统计回复次数、衡量响应时间。
• 解析订单确认邮件，展示购买历史。
• "清空收件箱"工具，筛出未读或加星邮件。

触发 Google 受限 scope 审核。正式上线前需发布隐私政策并通过安全评估。

代替用户发送邮件。不能读取、修改或删除任何邮件。

• 从用户邮箱发送自动回复或确认邮件。
• 邮件转任务工具——创建任务后从用户邮箱发确认邮件。
• CRM 通过用户自己的 Gmail 发跟进邮件。

触发 Google 敏感 scope 审核。只需要发邮件时优先用这个，不要申请全量 gmail。

读取、撰写、发送邮件，以及修改邮件（贴标签、标记已读、归档、移入回收站）。不能永久删除。

• 邮件工作流工具——通过贴标签和归档来整理收件箱。
• 退订工具——把营销邮件移到指定文件夹。

受限 scope，需要 Google 安全评估和完整隐私政策。

创建、读取、更新和删除 Gmail 标签。不能读取邮件内容。

• 整理类应用——首次运行时建立文件夹结构。
• 把工具自己的标签体系同步到 Gmail 标签。

查看所有 Google Calendar 活动详情、参与者和空闲/忙碌信息。

• 日程助手——建议会议时间时展示已有活动。
• 时间追踪应用——把日历活动导入作为工作记录。
• 展示当天日程的 Dashboard 组件。

敏感 scope，触发审核。如果只需要空闲状态，用 calendar.freebusy 就够了。

完整 Google Calendar 权限：创建、读取、更新和删除所有活动和日历。

• 应用任务列表与 Google Calendar 双向同步。
• 会议排期工具——自动在日历中创建时间块。

受限 scope。如果只管理活动（不动日历元数据），改用 calendar.events。

只能访问应用自己创建的文件，或用户通过 Drive 文件选择器主动用你的应用打开的文件。不能浏览所有 Drive 文件。

• 文档编辑器——把自己的文件保存到 Drive 并打开。
• 备份应用——在 Drive 里创建文件夹并上传文件。
• 让用户通过 Drive 文件选择器选取文件的应用。

大多数应用优先用这个而非 drive 或 drive.readonly——不需要额外审核，影响范围也最小。

查看和下载用户 Google Drive 中的所有文件。不能创建、修改或删除。

• AI 助手读取用户文档获取上下文。
• 文件迁移工具——枚举并下载 Drive 内容。

敏感 scope，触发审核。如果只需要应用自己创建的文件，用 drive.file。

完整 Google Drive 权限：创建、修改、删除文件以及管理权限，覆盖所有文件。

• 完整 Drive 管理面板——整理、重命名、移动和删除文件。
• 团队工具——共享并重新组织整个 Drive 目录结构。

受限 scope，需要 Google 安全评估，有时还需要第三方审计。需要充分说明为什么 drive.file 或 drive.readonly 不够用。

读取所有电子表格数据、公式、格式和命名区域。

• BI 工具以 Google Sheets 为数据源拉取数据。
• 无代码应用构建器——以 Sheets 作为后端数据库。

敏感 scope。如果全量只读权限太宽泛，也可以通过 Drive 文件选择器按文件授权。

完整电子表格权限：读取、写入、创建和删除。

• 报告工具——把结果写回追踪用的电子表格。
• CRM——在 Sheets 数据库和自身之间双向同步联系人数据。

敏感 scope，触发审核。只读数据时优先用 spreadsheets.readonly。

读取已认证用户的个人资料：姓名、简介、头像、地区、公司、粉丝数。

• GitHub 登录后展示用户头像和名称。
• 从 GitHub 个人资料预填应用内的资料字段。

读取用户的所有邮箱地址（包括私密邮箱）以及哪个是主邮箱。

• 用 GitHub 已验证邮箱作为数据库中的账号标识。
• 通过邮箱匹配把 GitHub 账号关联到已有账号。

用户可以在 GitHub 上隐藏邮箱，但这里依然会返回。请当作个人隐私信息处理。

完整个人资料的读写权限，含邮箱、粉丝、关注和加星仓库。

• 代替用户更新 GitHub 简介或头像的应用。

通常 read:user + user:email 就够，不需要写权限。

只能读写公开仓库。包含代码、issue、PR 和提交状态。

• 在公开 issue 或 PR 上评论的开源工具。
• 展示公开仓库的作品集应用。
• 在公开仓库上设置提交状态的 CI 集成。

所有仓库（含私有）的完整读写权限：代码、issue、PR、Wiki、部署和设置。

• 需要私有仓库访问权的开发工具，如 IDE 和代码审查应用。
• 推送代码和更新部署状态的发布流水线。
• 完整的 GitHub 客户端或镜像工具。

这是 GitHub 最宽泛的 scope，用户有时会因此警觉。能用 repo:status 或 public_repo 就别用 repo。GitHub Apps 可以用更细粒度的权限代替。

读写公开和私有仓库的提交状态。CI/CD 系统所需的最小权限。

• CI/CD 流水线在构建完成后更新提交的 ✅/❌ 状态。
• 代码质量机器人标记提交通过或失败。

添加和更新 GitHub Actions 工作流文件（.github/workflows/*.yml）。

• 为新项目生成 CI 流水线脚手架的工具。
• 修改工作流配置的自动化平台。

允许在 GitHub 基础设施上执行代码。需谨慎授权——只给完全信任的应用。

读取和处理通知：标记为已读或取消订阅会话。

• GitHub 通知管理面板和分类工具。
• 展示未读 review 请求的移动端应用。

代替用户创建和编辑 Gist。

• 代码片段分享工具——直接保存到 GitHub Gist。
• 以 Gist 为后端的代码分享应用。

删除用户有管理员权限的仓库。

• 归档并删除废弃仓库的清理脚本。

不可撤销。只有核心功能确实需要删除仓库时才申请。绝不要把这个设为默认 scope。

读取组织和团队成员信息，以及组织项目看板信息。

• 检查用户是否属于某 GitHub 组织以做访问控制的工具。
• 展示组织成员情况的团队看板。

组织和团队的完整管理权限：创建、更新、删除成员和团队，管理组织设置。

• 把员工目录同步到 GitHub 组织成员的 HR 工具。
• 将新员工自动加入对应团队的入职自动化工具。

仅组织 owner 可授权。可以添加/移除所有成员。

从 GitHub Package Registry 下载包。

• CI 流水线从 GPR 安装私有 npm 或 Docker 包。

向 GitHub Package Registry 发布包。

• CI 流水线在发版时把 npm、Docker 或 Maven 包发布到 GPR。

颁发 OpenID Connect 登录用的 ID token，包含 oid（用户对象 ID）等 OIDC claim。

• 网页或移动应用通过 Microsoft/Azure AD 登录。
• 以 Azure AD 为身份提供商的 SSO。

登录并读取当前用户的个人资料：显示名称、职位、邮箱、头像。

• 登录后展示用户名和头像。
• 用 Graph 数据填充员工名录条目。

获取 refresh token，让应用在用户不在线时也能保持访问。

• 在夜间无用户交互时运行的后台同步任务。
• 任何需要超过 1 小时 access token 有效期的应用。

只要需要 refresh token 就得带上这个，配合其他 scope 一起申请。

读取用户邮箱中的所有邮件，含附件和元数据。

• 邮件分析和报告看板。
• 索引邮件附件的文档管理工具。

委托权限：代表已登录用户操作。应用权限版本（无用户参与的 Mail.Read）需要管理员同意。

以已登录用户身份或代表该用户发送邮件。

• 从用户 Outlook 邮箱发自动跟进邮件的应用。
• CRM 通过销售人员自己的邮箱发销售邮件。

读取用户的日历活动和会议详情。

• 排期工具通过读取已有活动避免重复预约。
• 自动记录会议时间的时间追踪工具。

创建、读取、更新和删除日历活动。

• 会议排期应用——写入日历时间块。
• 应用与 Outlook 日历之间的双向同步。

读取已登录用户在 OneDrive 和 SharePoint 中能访问的所有文件。

• 索引 OneDrive 内容的搜索和发现工具。
• 读取所有文件做分析的文档 AI 工具。

完整访问用户可访问的所有文件：读、写、创建、删除。

• 管理 OneDrive/SharePoint 内容的文件管理面板。

只管理应用自身文件时优先用 Files.ReadWrite，或者用 Files.ReadWrite.AppFolder 限定在沙箱应用文件夹内。

读取 Azure AD 租户中的所有目录数据：用户、组、设备、应用。

• 列出所有用户和组成员的 IT 管理工具。
• 审计 AAD 配置的安全工具。

需要租户管理员同意——普通用户无法授权。不适合面向消费者的应用。

查看工作区中公开频道的基本信息。

• 机器人列出可用频道让用户选择要发布的地方。
• 展示工作区频道结构的看板。

以应用身份（不是用户身份）发送消息。是发布机器人消息的标准 scope。

• 在部署、告警或事件时向频道发通知的机器人。
• 每天在频道里提问的站会机器人。
• 把摘要或报告发到 Slack 的集成。

创建、归档和重命名公开频道，以及管理频道成员。

• 为每个项目创建对应 Slack 频道的项目管理工具。

查看应用可访问的频道和对话中分享的文件。

• 索引 Slack 中分享文件的文档搜索工具。

查看工作区成员的基本信息：显示名称、时区、状态。不含邮箱。

• 按名称标记或 @ 提及工作区成员的应用。
• 检查成员时区的排期工具。

查看工作区成员的邮箱地址。需要先有 users:read 权限。

• CRM 通过邮箱把 Slack 用户和联系人记录对应起来。
• SSO 工具把 Slack 账号关联到内部目录。

用户邮箱是个人隐私数据。Slack 工作区管理员可能会限制此 scope。

查看工作区名称、图标、域名和邮箱域。

• 在界面中展示工作区品牌的多工作区应用。

读取用户在 Spotify 账号上注册的邮箱地址。

• 作为账号标识符，或用于发送事务性邮件。

读取用户的订阅级别（免费/Premium）、国家和产品类型。

• 仅对 Spotify Premium 用户开放高级功能的功能门控。

读取用户创建或订阅的私密和协作播放列表。

• 展示用户所有播放列表（含私密列表）的音乐应用。

代替用户创建和编辑公开播放列表。

• 根据推荐添加歌曲的协作播放列表工具。
• 根据演唱会歌单创建播放列表的应用。

创建和编辑私密播放列表。

• 根据心情或活动生成并保存为私密列表的工具。

读取用户收藏的歌曲和专辑（"我的音乐"）。

• 展示用户音乐库的音乐统计应用。

读取用户在不同时间范围内的最常听艺人和歌曲。

• 音乐个性和品味分析应用。
• "年度回顾"类工具（自制版 Spotify Wrapped）。

读取已认证用户和其他用户的推文、时间线和公开对话数据。

• 拉取 @ 提及和回复的社交媒体看板。
• 消费公开推文流的情感分析工具。

代替用户创建、删除和隐藏推文及回复。

• 按计划发布推文的社交媒体排期工具。
• 删除并重新发布整理后推文的 Thread 管理工具。

读取用户的公开资料信息：姓名、简介、粉丝/关注数量。

• 资料丰富——把社交上下文拉入 CRM。

读取用户的粉丝和关注列表。

• 展示谁在关注你、你在关注谁的受众分析工具。

获取 refresh token，无需用户重新授权即可保持访问。

• 在用户离线时需要操作的定时发布工具。

读取用户点赞过的推文。

• 将点赞推文加入书签的稍后阅读工具。

代替用户点赞或取消点赞推文。

• 互动自动化工具（请符合伦理规范和 Twitter API 使用条款）。

读取用户的 Discord 用户名、鉴别符、头像和用户 ID。不含邮箱。

• Discord 登录——认证后展示用户名和头像。
• 把 Discord 账号关联到你的平台，不需要存密码。

读取与用户 Discord 账号关联的邮箱地址。

• 作为账号标识符，或与数据库中的已有账号匹配。

列出用户所在的服务器及其角色。

• 以服务器成员资格做功能门控——"必须加入 XYZ 服务器才能访问"。
• 展示用户所属社区的看板。

无需用户点击邀请链接即可将其加入服务器。

• 自动将新客户加入支持服务器的引导流程。

同一请求里需要 bot token。用户被静默加入——请在界面上明确告知用户。

将机器人以 OAuth URL 中指定的权限加入服务器。

• 用户直接安装到服务器的斜杠命令机器人。
• 通过 OAuth 服务器授权安装的管理机器人。

机器人的权限独立于此 scope——在 OAuth URL 里用 permissions 位掩码指定。

读取会员的姓名、职位摘要、头像和个性化 URL。

• LinkedIn 登录——填充用户名和头像。
• 导入个人资料数据直接创建账号，免填注册表单。

读取会员在 LinkedIn 注册的主邮箱地址。

• 用邮箱作为账号关联的唯一标识符。

代替会员在 LinkedIn 上创建、编辑和删除帖子、评论和点赞。

• 按计划在 LinkedIn 发内容的社交媒体排期工具。
• 自动评论公司帖子的内容扩散工具。

关联 Stripe 账号的只读权限：查看收费、客户、产品和提款记录。

• 展示收入和提款数据的财务看板。
• 审计关联账号订阅指标的分析工具。

Stripe Connect：用户授权的是他们自己的 Stripe 账号，不是你的。除非功能明确需要创建或修改数据，否则用 read_only。

关联 Stripe 账号的完整读写权限：创建收费、发起退款、管理订阅。

• 代替关联商家创建收费的支付平台。
• 管理订阅和发起退款的账单工具。

授予对用户 Stripe 账号的完整控制权，包括退款和修改提款设置。需要在 Stripe 应用审核中详细说明理由。