高级保护计划阻止我们的应用程序通过 oauth 登录

Question

我们的应用程序在 OAuth 流程中工作正常，没有任何问题，即以下 URL： https: //accounts.google.com/o/oauth2/auth

但是，如果该帐户位于Advanced Protected Program下，则 OAuth 将失败并显示以下消息：（假设 XXX 是我们应用程序的名称）

访问被阻止：XXX 未获得高级保护批准

高级保护计划会执行额外的安全检查以保护您的帐户数据，并且尚未批准此应用程序。如果您希望允许 XXX 访问您的数据，您可以联系应用开发者并鼓励他们提交应用进行验证。了解有关此错误的更多信息如果您是 XXX 的开发人员，请参阅错误详细信息。

错误 400：policy_enforced

我们查看了高级保护计划的常见问题文章，似乎只允许4种应用程序访问：

• 所有 Google 应用和服务
• iOS 和 macOS 上的 Apple 邮件、日历和通讯录应用
• Mozilla 雷鸟
• 直接访问 Gmail 的桌面电子邮件客户端

由于上述错误消息显示“鼓励他们提交应用程序进行验证”，我们认为可能有某种方法可以提交验证。但是，本文中没有有关高级保护计划的应用程序验证提交的其他信息。

我们发现，对于 Google Workspace 帐户，管理员可以配置白名单来绕过高级保护问题，但对于 Google 帐户（例如：gmail.com），则没有这种方法。

顺便说一句，我们的应用程序已经通过了敏感/受限 API 范围的应用程序验证：
我们不知道高级保护计划的应用程序验证是否与上述应用程序验证进度相关。（例如，再次点击验证，也许验证表单中会出现高级保护计划的新选项？）

我们想知道是否有办法提交高级保护计划的应用程序验证，或者有任何替代方法可以绕过此错误（暂时关闭高级保护计划除外）。

谢谢你！

Answer 1

您必须阅读一些字里行间的内容，但所有在线文档都指向以下结论：

\n

\n
• 高级保护计划旨在阻止几乎所有第三方对敏感范围的访问，但谷歌精心挑选的某些应用程序除外。
\n
• Google Workspace 用户可以让管理员将应用添加到其网域的许可名单中，从而绕过高级保护第三方应用限制。
\n
• 免费 Gmail 用户的工具更加有限管理第三方应用程序访问的他们可以审查并删除它们，但不能预先允许它们。当应用程序请求访问时，他们可以批准它们，但这就是高级保护阻止它们的地方。因此，他们没有办法绕过限制。
\n
• 目前似乎没有公开可用的方法来申请验证您的应用程序的高级保护。自发布以来的大约 5 年里，除了官方的 Google 应用程序之外，只有 Apple iOS 应用程序和几个电子邮件客户端被添加到默认的受信任应用程序列表中。
\n

\n

高级保护到底有什么作用？

\n

这是为一小部分具有最大安全需求或最大偏执的用户保留的安全层。它有一些额外的 2SV 限制，并且关于第三方应用程序，Google 的发布博客文章对此做了最好的解释：

\n

\n

有时，人们会无意中授予恶意应用程序访问其 Google 数据的权限。高级保护可通过以下方式防止这种情况发生：自动限制特定应用程序对 Gmail 和云端硬盘的完全访问来防止这种情况发生。目前，这些只是 Google 应用程序，但我们预计将来会扩展这些应用程序。

\n

\n

因此，在发布时只允许使用 Google 应用程序，并且没有提及允许开发人员验证其应用程序的高级保护。几个月后，他们发布了更新iOS 应用程序的

\n

\n

今天，我们\xe2\x80\x99 宣布高级保护现在支持 iOS 设备上的 Apple\xe2\x80\x99s 本机应用程序，包括 Apple 邮件、日历和通讯录。(...) 在今天之前，(...) 如果您注册了该计划，则只有 Google 应用程序能够访问您的数据。(...)我们\xe2\x80\x99未来将继续扩大可以访问Google数据的可信应用程序列表。

\n

\n

之后他们添加了更多邮件客户端，例如 Thunderbird 和 MacOS 邮件应用程序，但您会注意到一个趋势，即这些是人们常用的众所周知的邮件客户端，并且他们专门选择并将它们一一列出。根本没有提及已通过 OAuth 验证的应用程序。

\n

但是 OAuth 验证呢？

\n

OAuth 验证是一个不同的过程。您可能已经知道，因为您已经经历过它，但如果您的应用程序使用受限范围（通常是 Drive 或 Gmail），您需要进行安全评估，以确保您的应用程序安全地处理数据并根据用户请求删除数据。这一切都很好，但高级保护针对的是那些感到有风险并且确实不想与任何人共享任何数据的人：

\n

\n

这些用户可能是记者、活动人士、商界领袖、政治竞选团队以及其他感觉特别脆弱的人。

\n

\n

此类用户通常是众所周知的，他们不仅会收到一般的网络钓鱼电子邮件，而且可能会成为更复杂的攻击的目标，而这些攻击更难以与正版应用程序区分开来。因此，谷歌认为对这一层进行定期验证是不够的，他们自行选择了一些可信的应用程序。

\n

那我能做什么呢？

\n

如果您的应用必须经过验证，则意味着它已经使用了一些敏感或受限范围，因此对于免费 Gmail 用户，除了创建不使用任何这些范围的应用版本之外，您无法执行任何其他操作。Google Workspace 用户可以让其管理员将您的应用列入白名单。

\n

您可能需要记住，很少有用户会启用此设置，因为它严重限制了他们的 Gmail 帐户可以执行的操作。通常，如果有人拥有此权限，那么他们就知道他们不会将任何第三方应用程序连接到他们的帐户。

\n

您可以使用具有高级保护的帐户进行测试。即使是经过 OAuth 验证的常见应用程序也会返回相同的错误消息。您的帖子中只有一个细节让我犹豫不决，这是错误的一部分：

\n

\n

您可以联系应用程序开发人员并鼓励他们提交应用程序进行验证

\n

\n

根据我上面提到的所有内容，我的猜测是，这可能是不准确的，并且错误消息与您尝试访问非 OAuth 验证的应用程序时显示的错误消息共享，或者 Google 计划将来有一个额外的验证过程。我会尝试更深入地挖掘一些 Google 资源，看看是否有一种很好的隐藏方式来请求此信息并在有更新时编辑我的帖子，但考虑到我们仍然只有少数应用程序高级保护允许我对此表示怀疑。

\n