配置与维护权限

应用只能调用已授权的接口。权限配置应从业务动作反推所需 Scope，并把读取、写入和高风险操作分开评估。

配置原则

1. 按接口申请：从具体 API 页面确认权限要求，不使用名称相近但范围更大的权限替代。
2. 读写分离：只读同步任务不授予创建、更新、删除或发送权限。
3. 按职责拆分应用：组织同步、邮件处理和日历自动化职责差异较大时，使用不同应用和凭证。
4. 先测试后放量：新增写权限先在测试账号或受控组织范围内验证，再进入生产。

建议流程

1. 列出应用会执行的 API、资源范围和读写动作。
2. 在每个 API 页面记录所需 Scope，合并并去重。
3. 由应用负责人和邮箱管理员复核高风险权限。
4. 在应用详情中更新权限并保存。
5. 重新获取访问令牌，验证只读、写入和异常路径。
6. 记录变更原因、操作人、时间、验证结果和回滚方案。

变更与回收

• 功能下线后及时移除对应权限，不保留“可能以后会用”的 Scope。
• 负责人离职、系统迁移或 Secret 泄露时，先轮换凭证，再检查权限和访问日志。
• 对发送邮件、删除资源、批量修改、隔离区释放等操作增加业务侧二次确认和审计记录。
• 定期核对实际调用接口与授权清单，清理连续多个周期未使用的权限。

常见问题

现象	检查项
401 Unauthorized	令牌是否缺失、过期，Bearer 前缀和 Server 是否正确。
403 Forbidden	当前应用是否拥有该 API 页面列出的权限，更新权限后是否重新获取令牌。
测试可用、生产失败	两个环境是否使用了不同应用、地域 Server 或资源范围。
能读取但不能写入	是否只授予读权限，目标资源是否还需要管理员或对象级权限。

资料来源：阿里邮箱使用手册、阿里邮箱 API 开放平台。