第三方 SaaS 授权暴露面是什么
企业账号授权过的第三方应用是常被忽略的暴露面：它不占端口、不过网络边界，而是以合法身份直接访问数据。常见的两类问题：多年前「试用了下」的应用仍在活跃，以及授权范围过宽（例如全盘读写、代发邮件）。管理动作是定期审计授权清单与权限范围，并让它与人员生命周期联动。
基本信息
| 审计入口 | Google Workspace / Microsoft Entra 等管理后台的应用授权页 |
|---|---|
| 审计字段 | 应用名、授权来源、权限范围、最后使用时间、责任人 |
| 高风险权限 | 全盘读写、代发邮件、通讯录读取、云端盘权限提升 |
| 生命周期 | 离职与转岗时同步吊销其个人授权的应用 |
审计动作
审计动作
1. 导出授权应用清单（管理后台的第三方应用/企业应用页面）
2. 逐项核对：业务仍在使用？授权范围是否最小？
3. 离职与转岗：回收账号时同步吊销其个人授权的应用
4. 新授权：走申请审批，高风险权限需人工说明理由
5. 常态化：对新增高权限授权开启告警并纳入月度复核典型使用场景
- 季度账号治理：与账号清单一起审计第三方授权
- 离职处理清单：把「吊销个人授权应用」列入离职标准动作
- 上线新 SaaS：评估其请求的权限范围是否最小必要
- 事件响应：确认是否有异常应用长期持有高权限
- 合规检查：第三方数据访问是常见核查项
风险项与处置
| 风险项 | 后果 | 处置 |
|---|---|---|
| 授权范围过宽 | 远超实际需要的数据访问 | 按最小范围重新授权 |
| 离职未回收 | 仍可访问企业文件 | 与离职流程联动吊销 |
| 应用来源不明 | 可能是钓鱼授权 | 立即吊销并核查来源 |
| 无使用记录 | 僵尸授权长期存在 | 确认无用后吊销 |
OAuth 授权是『不占端口的暴露面』：它绕过网络边界，直接以合法身份访问数据，因此网络侧的收敛措施对它完全无效。
用户被诱导授权的钓鱼手法很常见：审批流程里要允许用户上报可疑授权，并保留管理员快速吊销的能力与操作记录。