gmail api 的 oauth2 授权不支持按域名（如 @example.com）粒度限制读写权限，所有官方 scope 均为全量访问控制，无法在授权阶段实现域级隔离。
gmail api 的 oauth2 授权不支持按域名（如 @example.com）粒度限制读写权限，所有官方 scope 均为全量访问控制，无法在授权阶段实现域级隔离。
Google Gmail API 的 OAuth2 作用域（scopes）是粗粒度、账户级的权限声明，而非细粒度的数据过滤器。你当前使用的两个 scope：
'https://www.googleapis.com/auth/gmail.readonly', 'https://www.googleapis.com/auth/gmail.send'
分别授予应用对用户整个收件箱的只读访问权，以及发送任意邮件的能力——不区分发件人、收件人、域名或标签。这意味着：一旦用户授权，你的应用即可读取该账户下所有历史邮件（包括来自 gmail.com、company.org、personal.net 等任意域名的邮件），也可向任意地址（如 admin@unknown.io）发送邮件。
? 为什么不能加“domain filter”到 scope？
OAuth2 scope 是由 Google 预定义的 URI 标识符，用于声明请求的资源类型与操作类型（如“读邮件”“发邮件”），而非数据条件（如“仅读 @mycompany.com 的邮件”）。Google 不提供类似 gmail.readonly:domain=mycompany.com 的扩展语法，也未开放自定义 scope 或属性化权限模型。
✅ 可行的替代方案（服务端实现）：
虽然授权无法限制域名，但你可以在应用层主动过滤，确保业务逻辑始终遵守域策略：
# 示例：使用 Gmail API 获取邮件后，仅处理指定域名的发件人
from googleapiclient.discovery import build
from google.oauth2.credentials import Credentials
def get_domain_filtered_messages(service, domain="mycompany.com", max_results=100):
# 列出最近邮件（仍需完整权限）
results = service.users().messages().list(
userId='me',
q=f'from:@{domain}',
maxResults=max_results
).execute()
messages = []
for msg in results.get('messages', []):
# 获取完整邮件内容（需额外 API 调用）
full_msg = service.users().messages().get(
userId='me',
id=msg['id'],
format='metadata' # 或 'full' 获取正文
).execute()
# 双重校验：确保 from 地址确属目标域（防伪造 header）
headers = {h['name'].lower(): h['value'] for h in full_msg['payload'].get('headers', [])}
from_addr = headers.get('from', '')
if f'@{domain}' in from_addr:
messages.append(full_msg)
return messages
⚠️ 关键注意事项：
- 授权页无提示：用户在 Google 授权页面看到的仍是“查看您的 Gmail”“发送邮件”，不会显示“仅限 mycompany.com”。因此需在你的 Django 登录流程中明确告知用户权限范围和域限制策略（例如在授权按钮旁添加说明文案）。
-
发送限制需自行拦截：
gmail.sendscope 允许发往任意地址。务必在调用users.messages.send()前校验to/cc/bcc字段是否符合白名单域名（如仅允许@mycompany.com收件人）。 - 审计与日志：记录所有实际执行的读/写操作（含发件人、收件人、时间戳），便于合规审查。
- 考虑 G Suite / Google Workspace 管理员权限：若面向企业客户，可引导管理员通过 Google Admin Console 启用「受限第三方应用访问」或部署域专属 OAuth 客户端（需 Workspace 订阅），但这属于组织级管控，不改变单个 scope 行为。
总之，Gmail OAuth2 的权限边界在“账户”层级，而非“数据子集”层级。真正的域安全必须落地于授权后的业务逻辑过滤 + 前端/后端双重校验 + 用户透明告知，而非依赖 scope 本身。
