审计动作
审计动作
1. 导出授权应用清单（Google Workspace / Microsoft Entra 管理后台）
2. 逐项核对：业务仍在使用？授权范围是否最小？
3. 离职与转岗：回收账号时同步吊销其个人授权的应用
4. 新授权：走申请审批，高风险权限（全盘读写、代发邮件）人工说明理由| 常见问题 | 多年前授权的『试用了下』的应用仍在活跃 |
|---|---|
| 收敛 | 不用的直接吊销；在用的按最小范围重新授权 |
| 监控 | 对新增高权限授权开启告警 |
OAuth 授权是『不占端口的暴露面』：它绕过网络边界，直接以合法身份访问数据。