Google Remote API允许使用仅查看身份验证的用户进行写入

Question

在Developer Console UI中，我无法使用此“可以查看”用户按预期编辑数据。但是，我可以通过连接到App Engine上的远程API Servlet来写入数据存储区。据我所知，您只能对App Engine上的servlet应用管理安全性约束，但这仍然会打开项目的所有成员，他们是所有者，可以编写或查看。然后我猜测远程Api使用具有写权限的默认应用引擎服务帐户。

如果您还想使用Google远程API，有没有办法将帐户完全锁定为只读？这不被认为是远程API的缺陷吗？

Answer 1

这是预期的行为。该应用程序的任何管理员 - 无论以何种角色 - 都可以使用远程api访问该应用程序。远程API不使用默认服务帐户，它只是通过HTTP进行隧道传输的数据存储区API的桥梁。

如果您想锁定以阅读给定用户，请构建您自己的REST Api，以提供只读访问权限。