Google Oauth 从访问中删除范围

Question

假设我有一个应用程序，并且我的应用程序已经运行多年，请求用户访问。有问题的应用程序正在请求更多的访问权限，或者应用程序已更改并且不再需要它请求的某些范围。

有问题的范围已被删除，因此不再提示新用户进行我们不需要的访问。

但是，我们现在有许多老用户，他们的刷新令牌授予我们不需要的访问权限。我想通过从那里的授权中删除不再需要的范围来解决这个问题。最简单的解决方案可能是撤销他们的代币并要求他们重新授权，但我认为这对客户来说是不可接受的。

范围示例：

https://www.googleapis.com/auth/analytics 查看和管理您的 Google Analytics 数据

该应用程序要求完全访问。该应用程序不需要完全访问权限

https://www.googleapis.com/auth/analytics.readonly查看您的 Google Analytics 数据

是否可以从授权中删除范围？我知道可以请求额外的权限，但我一直无法找到删除过多权限的方法。

Answer 1

不，这是不可能的。

范围不是嵌套的。因此，尽管逻辑上analytics.readonly是 的子集analytics，但这并不是它们在内部的看待方式。因此，不会从 降级analytics到analytics.readonly，因为它们是完全独立的范围。因此，由于您必须通过附加范围过程来获取analytics.readonly，因此您不妨撤销现有令牌，这是删除现有analytics授权的唯一方法。