Google OAuth 应用验证：隐私政策必须是什么样、必须放在哪里
作者 Paul Cranmer, 创始人 · 最后核实： 2026 年 10 月 · Google Cloud 控制台 · OAuth 同意屏幕 → 品牌
OAuth 验证是 Google 在应用向所有人请求敏感或受限范围之前进行的审核。品牌验证部分是隐私政策链接失败的地方：Google 说隐私政策应托管在你首页所在的域名内，应在首页上链接以便用户找到，必须从 OAuth 同意屏幕链接，并且必须披露你的应用如何访问、使用、存储和共享 Google 用户数据；首页必须位于你拥有的已验证域名上，由项目所有者或编辑者通过 Search Console 验证。本页列出四项检查，以及对政策托管在别处的应用的诚实答案。
适合谁
- 验证请求带着隐私政策或首页问题被退回的开发者
- 请求 Gmail、Drive、日历或其他敏感范围的应用
- 政策页面放在第三方主机上的团队
不适合
- 只使用非敏感范围的应用（没有验证审核，但同意屏幕链接仍然重要）
- 仅限一个 Google Workspace 组织的内部应用
平台的要求
- 隐私政策应托管在你首页所在的域名内。
- 它应在你的首页上链接以便用户找到，并且必须从 Google API 控制台的 OAuth 同意屏幕链接。
- 它必须披露你的应用如何访问、使用、存储和共享 Google 用户数据。
- 首页必须托管在你拥有的已验证域名上；首页上的隐私政策链接应与同意屏幕上的链接一致；域名所有权由项目所有者或编辑者在 Search Console 中验证。
先拿到一个有效网址
诚实的答案：OAuth 验证要求政策放在你自己的域名上，所以托管在 privacypolicyurl.com 上的页面不是审核人员期待的。用向导（API/SDK，免费）生成带 Google 用户数据部分的文本，发布到 yourdomain.com/privacy，从首页和同意屏幕链接，并在 Search Console 中验证域名。我们的托管网址对应用商店和广告平台仍然有用。
生成带 Google 数据部分的政策文本（免费）分步指南：粘贴你的隐私政策网址
- 生成带 Google 用户数据部分的政策. 以 API/SDK 身份运行向导，列出 Google 范围（Gmail、Drive、日历）、应用对这些数据做什么、保留多久以及还有谁能看到。
- 发布到你首页的域名上. 把页面放在与首页相同域名的路径上，例如 https://yourdomain.com/privacy，并从首页页脚链接。
- 在 OAuth 同意屏幕上设置链接. Google Cloud 控制台 → API 和服务 → OAuth 同意屏幕（品牌）：应用首页、应用隐私政策链接、应用服务条款链接。使用与首页完全相同的网址。
- 在 Search Console 中验证域名. 把域名添加到已获授权的网域，并用项目所有者或编辑者的账号在 Search Console 中验证所有权。
- 提交验证. 连同 Google 要求的范围理由和演示视频一起请求验证；上面的品牌检查是本页涵盖的部分。
需要找的字段名称
- OAuth 同意屏幕 → 品牌
- 首页、隐私政策链接、服务条款链接、已获授权的网域。
- Search Console
- 由项目所有者或编辑者进行域名验证。
表单失败的常见原因
- 政策托管在与首页不同的域名上
- 首页没有指向政策的链接
- 政策从未提到 Google 用户数据
- 已获授权的网域未由项目所有者或编辑者验证
还没有网站？
如果你的产品还没有自己的网站，请在请求验证之前在你的域名上为政策做一个页面；这一个页面就满足首页域名规则，并且可以嵌入向导生成的同一文本。
常见问题
我的 OAuth 隐私政策可以托管在其他域名上吗？
Google 说它应托管在你首页所在的域名内。放在其他主机上的政策是常见的验证问题；把它托管到你的域名，并从首页和同意屏幕链接。
政策必须说明 Google 数据的什么？
你的应用如何访问、使用、存储和共享 Google 用户数据。
谁来验证域名？
被列为项目所有者或编辑者的账号，通过 Search Console。