Sign in with Google: xóa app không thu hồi quyền truy cập, token tồn trên máy chủ tới 6 tháng (và lâu hơn với hoạt động)
Sign in with Google: Deleting the app does not revoke access
Tóm tắt nhanh
- Một lần chạm vào nút "Sign in with Google" cấp một refresh token cho dịch vụ bên thứ ba, token này nằm trên máy chủ dịch vụ chứ không ở điện thoại và không bị thu hồi khi gỡ app.
- Google liệt kê các lý do refresh token ngừng hoạt động: người dùng thu hồi quyền, token không được dùng trong sáu tháng, đổi mật khẩu (chỉ với token có Gmail scopes), quá 100 token cho cùng client, thời hạn grant kết thúc, hoặc quản trị viên giới hạn.
- Xóa ứng dụng không xuất hiện trong các lý do của Google vì thao tác gỡ cài đặt không thông báo lên máy chủ nhà cung cấp, nên uninstall không thu hồi token.
- Quy tắc sáu tháng chỉ tính khi token không bị chạm tới; mỗi lần dịch vụ dùng token (ví dụ sync danh bạ hay đọc lịch hàng tuần) sẽ đặt lại đồng hồ, nên token có thể được gia hạn vô hạn.
- Tháng 6/2025 Google thêm cơ chế dọn dẹp: developer clients không dùng trong sáu tháng bị xóa, khiến Sign in with Google cho client đó dừng hoạt động và token hiện có thất bại.
- Đổi mật khẩu chỉ thu hồi token mang Gmail scopes, tức chỉ ảnh hưởng đến việc truy cập mail (Apple Mail, Thunderbird, v.v.), còn quyền truy cập Drive, Calendar, Contacts và Sign in with Google bình thường vẫn tồn tại.
- Google nêu ra ba ngoại lệ ngay cả với mail: Apps Script, mật khẩu đổi từ thiết bị Android và các phiên IMAP xác thực theo cách này vẫn giữ truy cập.
- Để quản lý quyền, Google lưu tại myaccount.google.com/linkedapps với ba mục (Sign in with Google, Account access, Linked accounts); người dùng phải mở chi tiết để dừng Sign in with Google hoặc gỡ quyền.
- Apple nhóm quyền theo developer (xóa một quyền gỡ mọi app của cùng developer), đường dẫn hiện là account.apple.com hoặc trên iPhone: Settings → your name → Sign in with Apple.
- Facebook gọi mục này là Apps and Websites; Microsoft dùng account.microsoft.com/privacy/app-access nhưng tài liệu chính thức chủ yếu cho tài khoản work/school và một số quyền không thể bị thu hồi nếu admin đã cấp.
Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.
Trích đoạn bài gốc
One tap on "Sign in with Google" hands a token to a third party. It lives on their servers, survives the app being deleted, and only expires after six months without use. A new password revokes Google tokens that carry mail scopes and nothing else. Everything else stays until you remove it yourself.Tapview chỉ hiển thị tiêu đề, trích đoạn ngắn, tóm tắt và đường dẫn tới bài gốc. Nội dung gốc thuộc bản quyền của NotebookCheck.
