01
记录应用程序详情
使用可识别的服务名称和维护人员可联系的地址。描述集成及其使用的数据。这些详情有助于所有者理解访问存在的原因。当连接的服务支持时，请将开发和生产应用分开。
02
选择最小权限
使用服务的参考将每个权限映射到所需功能。在只需要读取权限时，先使用只读访问。不要为了修复未解释的错误而请求广泛权限；请先检查文档中的响应。记录每个权限的原因以便将来审查。
03
验证授权流程
注册准确的回调地址，并遵循服务对于匹配 redirect_uri 的规则。使用其推荐的防止请求伪造和代码拦截的保护措施。URL 中的代码并不能证明身份验证。用非敏感数据进行测试，并提供撤销访问的方法。