Google 账号授权第三方 app，安全性如何？

[kebamt]

求问： 在使用 Google 账号登录第三方 app，是不是说开发者在任意时候获取我的 Google 账号中的个人数据（不包括只授权公共数据的方式），并「主动」对其数据进行访问、修改、删除等授权范围内操作，关键词是「主动，不需要用户交互」。Google 又做了那些安全防御措施呢？谢谢。

[dingwen07]

你可以随时去撤回权限啊

[stimw]

这个不是有明确说明的吗。。。
去看账号安全性下面的内容

[efcndi]

在授权登录的页面，Google 都会提醒你给予了哪些权限的啊。

[kebamt]

@efcndi 是的，是不是说我给了它比如：谷歌云盘数据读写权限，是不是说它以后未经过我主动交互就可以自行读写我的云盘，这样风险挺大的吧

[kebamt]

我担心的主要是它在背后不应该操作的时候自行读写我的数据

[efcndi]

@kebamt 肯定不是啊，还是得你做了某些操作触发之后才会读取，而且也仅限于读取跟该第三方服务相关的数据。

[dingwen07]

@kebamt #4 如果看到了申请了云端硬盘全部权限，那就可以读取你全部的文件了，任何时候，具体看授权的时候的提示，都是很清楚的。应用程序理论上是可以只请求自己的数据目录的，但是看起来现在很多都是全部申请。

[ruixue]

谷歌云盘有精细的授权范围的，可以只授权 app 读写自己的应用目录，这样 app 就无法访问除自己目录外的其他文件。然而现在不少 app 都是直接申请全部的访问权限

总之不放心就不要用。你在网站买东西填写了信用卡信息 /授权了 PayPal 支付宝自动付款，网站也随时可以在背后不通知你的情况下直接从你账户扣款，都是基于信任的

[alyssa0326rr]

@efcndi 我觉得楼主担心是有道理的. 从 rclone 的用法可以看出, 只要获取了权限, 凭借 token 就可以随时随地无限量(750G 上传 /每天),无限期地来操作你的数据, 当然 drive 里是有操作记录的,不过显示的都是你自己的名字.

@kebamt 如果不放心主账号的私人文件, 就用小号吧