Apps Script × Gemini 自動化の権限を最小に保つ — 明示スコープ設計とスコープ肥大の検知

{
  "timeZone": "Asia/Tokyo",
  "exceptionLogging": "STACKDRIVER",
  "runtimeVersion": "V8",
  "oauthScopes": [
    "https://www.googleapis.com/auth/gmail.readonly",
    "https://www.googleapis.com/auth/spreadsheets.currentonly",
    "https://www.googleapis.com/auth/script.external_request"
  ]
}

function summarizeWithGemini(text) {
  const apiKey = PropertiesService
    .getScriptProperties()
    .getProperty('GEMINI_API_KEY');
  if (!apiKey) throw new Error('GEMINI_API_KEY is not set');
 
  const model = 'gemini-2.5-flash';
  const url = 'https://generativelanguage.googleapis.com/v1beta/models/'
    + model + ':generateContent';
 
  const payload = {
    contents: [{
      role: 'user',
      parts: [{ text: '次のメールを2文で要約してください:\n\n' + text }]
    }],
    generationConfig: { temperature: 0.2, maxOutputTokens: 256 }
  };
 
  const res = UrlFetchApp.fetch(url, {
    method: 'post',
    contentType: 'application/json',
    headers: { 'x-goog-api-key': apiKey },
    payload: JSON.stringify(payload),
    muteHttpExceptions: true
  });
 
  const code = res.getResponseCode();
  if (code !== 200) {
    throw new Error('Gemini API error ' + code + ': ' + res.getContentText());
  }
  const data = JSON.parse(res.getContentText());
  return data.candidates?.[0]?.content?.parts?.[0]?.text ?? '';
}

function processUnread() {
  const threads = GmailApp.search('label:to-summarize is:unread', 0, 20);
  const sheet = SpreadsheetApp.getActiveSpreadsheet().getSheets()[0];
 
  threads.forEach(function (thread) {
    const msg = thread.getMessages()[0];
    const summary = summarizeWithGemini(msg.getPlainBody());
    sheet.appendRow([new Date(), msg.getSubject(), summary]);
    // 既読化は markRead を使わず、ラベル運用で代替する。
    // markRead は gmail.modify スコープを要求し、最小権限を崩すため。
  });
}

// scope-audit.mjs — appsscript.json のスコープを許可リストと突き合わせる
import { readFileSync } from 'node:fs';
 
const ALLOWED = new Set([
  'https://www.googleapis.com/auth/gmail.readonly',
  'https://www.googleapis.com/auth/spreadsheets.currentonly',
  'https://www.googleapis.com/auth/script.external_request',
]);
 
// 特に危険なスコープ（混入したら即失敗させたい）
const FORBIDDEN = new Set([
  'https://mail.google.com/',                                   // Gmail 全権
  'https://www.googleapis.com/auth/gmail.modify',
  'https://www.googleapis.com/auth/drive',                      // Drive 全権
  'https://www.googleapis.com/auth/spreadsheets',              // 全スプレッドシート
]);
 
const manifest = JSON.parse(readFileSync('./appsscript.json', 'utf8'));
const scopes = manifest.oauthScopes ?? [];
 
if (scopes.length === 0) {
  console.error('FAIL: oauthScopes が未宣言です（自動推定に任せると肥大します）');
  process.exit(1);
}
 
const forbidden = scopes.filter((s) => FORBIDDEN.has(s));
const unexpected = scopes.filter((s) => !ALLOWED.has(s));
 
if (forbidden.length) {
  console.error('FAIL: 禁止スコープが混入:\n  ' + forbidden.join('\n  '));
}
if (unexpected.length) {
  console.error('FAIL: 許可リスト外のスコープ:\n  ' + unexpected.join('\n  '));
}
if (forbidden.length || unexpected.length) process.exit(1);
 
console.log('OK: ' + scopes.length + ' scopes, すべて許可リスト内');