GASのOAuthスコープを
最小限に絞る方法｜appsscript.json

{
  "timeZone": "Asia/Tokyo",
  "dependencies": {},
  "exceptionLogging": "STACKDRIVER",
  "runtimeVersion": "V8"
}

// oauthScopes が無い状態。
// GASがコードを解析して必要そうなスコープを自動で決めるため、
// 承認画面の内容はコードを変えるたびに黙って変わる。

{
  "timeZone": "Asia/Tokyo",
  "dependencies": {},
  "exceptionLogging": "STACKDRIVER",
  "runtimeVersion": "V8",
  "oauthScopes": [
    "https://www.googleapis.com/auth/spreadsheets.currentonly",
    "https://www.googleapis.com/auth/script.external_request",
    "https://www.googleapis.com/auth/script.scriptapp"
  ]
}

// このスクリプトができるのは次の3つだけ。
//  1. 紐づいているスプレッドシートの読み書き（他のシートは開けない）
//  2. 外部サイトへのHTTPリクエスト（Claude APIの呼び出し）
//  3. 自分自身のトリガーの作成・削除

// スコープが変わる書き方の例：スプレッドシート

// 【狭い】spreadsheets.currentonly で足りる
// スクリプトが紐づいている（コンテナバインド）シートだけを触る
function readActiveSheet() {
  const sheet = SpreadsheetApp.getActive().getSheetByName("問い合わせ");
  const values = sheet.getDataRange().getValues();
  console.log("行数: " + values.length);
}

// 【広い】spreadsheets（=全スプレッドシート）が必要になる
// IDで別ファイルを開いた時点で、アカウント内の全シートへの権限を求められる
function readOtherSheet() {
  const ss = SpreadsheetApp.openById("1AbCdEf...");  // ここで広がる
  const values = ss.getSheets()[0].getDataRange().getValues();
  console.log("行数: " + values.length);
}

// 対処: 別ファイルの参照が1か所だけなら、
// IMPORTRANGE や 手動コピーで済ませられないか先に検討する。

// スコープが変わる書き方の例：メール送信

// 【狭い】script.send_mail だけで動く
// 送信専用。受信トレイの中身は一切読めない
function notifyByMailApp() {
  MailApp.sendEmail({
    to: "team@example.com",
    subject: "日次処理が完了しました",
    body: "本日の集計が正常に終了しました。",
  });
}

// 【広い】gmail.* 系（受信メールの読み取りを含む）が必要になる
// 下書き作成やスレッド検索を使うと、メールを読む権限まで求められる
function createDraftByGmailApp() {
  GmailApp.createDraft("team@example.com", "確認依頼", "内容をご確認ください。");
}

// 判断基準: 「送るだけ」なら MailApp。
// 受信メールの検索・ラベル付けが必要なときだけ GmailApp を使う。

// スコープが変わる書き方の例：ドライブ

// 【広い】drive スコープ。アカウント内の全ファイルを検索・編集できる
function findAllInvoices() {
  const files = DriveApp.searchFiles('title contains "請求書"');  // 全体検索
  while (files.hasNext()) {
    console.log(files.next().getName());
  }
}

// 【狭い】drive.file で足りる場合がある
// スクリプトが作ったファイル、利用者がファイル選択UIで選んだファイルだけを扱う
function createReportFile() {
  const blob = Utilities.newBlob("集計結果", "text/plain", "report.txt");
  const file = DriveApp.createFile(blob);   // 自分で作ったファイルには触れる
  console.log(file.getUrl());
}

// 注意: drive.file を指定した状態で searchFiles や getFolderById を呼ぶと
// 権限不足で失敗する。「作る・書く」だけの処理に向いたスコープ。

// 実装例：問い合わせシートをAIで分類する最小権限スクリプト
// 必要なスコープは spreadsheets.currentonly と script.external_request の2つだけ

function classifyInquiries() {
  const sheet = SpreadsheetApp.getActive().getSheetByName("問い合わせ");
  const lastRow = sheet.getLastRow();
  if (lastRow < 2) return;

  // A列=本文, B列=分類
  const rows = sheet.getRange(2, 1, lastRow - 1, 2).getValues();
  const output = rows.map((row) => {
    const body = row[0];
    const done = row[1];
    if (!body || done) return [done];
    return [classifyByClaude_(body)];
  });

  sheet.getRange(2, 2, output.length, 1).setValues(output);
}

function classifyByClaude_(body) {
  const apiKey = PropertiesService.getScriptProperties().getProperty("ANTHROPIC_API_KEY");

  const res = UrlFetchApp.fetch("https://api.anthropic.com/v1/messages", {
    method: "post",
    contentType: "application/json",
    headers: { "x-api-key": apiKey, "anthropic-version": "2023-06-01" },
    payload: JSON.stringify({
      model: "claude-opus-5",
      max_tokens: 64,
      system: "問い合わせを 見積 / 不具合 / その他 のいずれか1語で分類し、その語だけを返してください。",
      messages: [{ role: "user", content: String(body).slice(0, 2000) }],
    }),
    muteHttpExceptions: true,
  });

  if (res.getResponseCode() !== 200) {
    console.error("APIエラー: " + res.getResponseCode());
    return "";
  }
  return JSON.parse(res.getContentText()).content[0].text.trim();
}

// PropertiesService と Utilities は追加スコープ不要。
// トリガーで定期実行するなら script.scriptapp を1行足す。

// 現在の承認スコープをコードから確認する
function showGrantedScopes() {
  const token = ScriptApp.getOAuthToken();
  const url = "https://oauth2.googleapis.com/tokeninfo?access_token=" + token;

  const res = UrlFetchApp.fetch(url, { muteHttpExceptions: true });
  const info = JSON.parse(res.getContentText());

  // 実際に承認されているスコープが一覧で出る
  console.log(info.scope.split(" ").join("\n"));
}

// 実行には script.external_request スコープが必要。
// マニフェストに書いた内容と実際の承認内容がずれていないかの確認に使える。