您在此处：
配置 OAuth 策略：配置外部客户端应用程序控制的自定义范围
此安全设置使 Salesforce 管理员能够定义特定的有限访问权限，允许外部应用程序仅与指定的受保护资源交互。
控件名称
外部客户端应用程序：配置 OAuth 策略：配置外部客户端应用程序的自定义范围
推荐配置
配置外部客户端应用程序的自定义范围。
控制概览
此安全设置使 Salesforce 管理员能够定义特定的有限访问权限，允许外部应用程序仅与指定的受保护资源交互，而不是与整个组织数据集交互。
安全风险（如果未配置）
连接的客户端的自定义范围过于宽泛会导致漏洞，集成的应用程序通过过度特权的访问令牌获得过度控制和未经授权的功能。
威胁场景
具有不受限制的自定义范围的外部应用程序被攻击者破坏，然后攻击者使用提升的令牌权限来执行管理命令或访问原始业务需求之外的敏感数据。
估计的 CVSS 得分范围
高 (7.0–8.9)。
风险影响注意事项
不实施精细的自定义范围会导致最低权限强制实施不足，并可能导致第三方工具中的单个漏洞升级为 Salesforce 环境的全面危害。
高风险
当自定义范围映射到全局或通配符权限时，这些权限授予外部客户端不受限制地读取、写入或删除所有对象的记录的能力。
低风险
如果公司使用强大的 OAuth 范围验证器，并实施严格的内部代码审查，以确保每个集成仅请求其操作所需的绝对最小功能声明。
业务和集成注意事项
定义精确的自定义范围会改善公司的安全状况，但需要开发人员明确更新应用程序逻辑，以请求和处理特定 API 调用的受限令牌。
建议的补救措施
转到外部客户端应用程序的 OAuth 设置，定义特定的自定义范围，然后将这些范围分配给相关策略，以确保限制所有客户端请求的访问。
安全健康审查指导
安全运行状况审查将粒度自定义范围的使用确定为强烈建议的标准，以强制执行最小权限原则，并防止第三方集成过度控制 Salesforce 实例。
另请参阅：
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
