Gmail API 的 OAuth2 授权不支持按域名粒度限制邮件访问权限，所有官方 scope 均为全量访问（如 gmail.readonly 或 gmail.send），无法通过修改 scope 实现“仅允许处理某域名收发邮件”的细粒度控制。
gmail api 的 oauth2 授权不支持按域名粒度限制邮件访问权限，所有官方 scope 均为全量访问（如 gmail.readonly 或 gmail.send），无法通过修改 scope 实现“仅允许处理某域名收发邮件”的细粒度控制。
Google 官方明确将 OAuth2 scope 设计为功能级权限（function-level），而非数据级权限（data-level 或 row-level）。这意味着：
-
https://www.googleapis.com/auth/gmail.readonly允许读取用户 全部 收件箱、已发送、草稿等所有邮件； -
https://www.googleapis.com/auth/gmail.send允许以该用户身份向任意地址发送邮件； -
不存在类似
gmail.readonly@example.com或gmail.send:domain=acme.com的 scope 语法，也无任何文档或 API 端点支持此类参数化范围。
✅ 正确做法：在应用层实施域级访问控制
虽然 OAuth2 本身无法限制域名，但你可以在 Django 后端对 Gmail API 返回的数据和操作请求进行严格过滤与校验：
# 示例：读取邮件时仅处理来自指定域名的发件人
ALLOWED_DOMAINS = {"acme.com", "acme-inc.net"}
def get_domain_filtered_messages(service, user_id="me", max_results=100):
messages = service.users().messages().list(
userId=user_id,
q="is:inbox", # 可结合 Gmail 查询语法进一步筛选
maxResults=max_results
).execute().get("messages", [])
filtered_emails = []
for msg in messages:
msg_data = service.users().messages().get(
userId=user_id, id=msg["id"], format="metadata"
).execute()
headers = {h["name"].lower(): h["value"] for h in msg_data.get("payload", {}).get("headers", [])}
from_addr = headers.get("from", "")
# 提取邮箱域名并校验
if "@" in from_addr:
domain = from_addr.split("@")[-1].strip(">")
if domain in ALLOWED_DOMAINS:
filtered_emails.append(msg_data)
return filtered_emails
⚠️ 注意事项：
-
发送限制需主动拦截：调用
users.messages.send前，务必解析raw或message字段中的To/Cc/Bcc头，拒绝向非授权域名发送邮件； -
避免 scope 过度申请：若业务仅需读取特定域名来信，仍需申请
gmail.readonly，但绝不应额外申请gmail.modify或gmail.labels等无关权限； - 结合 Google Workspace 管理控制台（企业场景）：若用户属于同一 Google Workspace 组织，管理员可通过 API 客户端访问权限设置 限制第三方应用可访问的用户范围，但仍无法按邮件内容域名做运行时过滤；
-
始终启用
prompt=consent：确保用户清晰知悉应用将获取其完整邮箱访问权，提升透明度与合规性（GDPR / CCPA）。
? 总结：OAuth2 scope 是“能做什么”，不是“能对什么做”。域名级隔离必须由你的 Django 应用在调用 Gmail API 前后完成——这是唯一符合安全与隐私要求的实践路径。
