这是一个非常高级的问题，也是一个高级别的答案，所以我只是在寻找一些正确方向的指针。
假设我想构建一个 Web 应用程序来管理用户的 Google 通讯录。我知道这是通过允许用户使用他的 Google 帐户登录同时请求管理他的 Google 通讯录的权限来完成的。到目前为止，一切都很好。
现在我想为外部浏览器扩展、Android 客户端等公开我自己的 API 层。但是，虽然我希望 API 客户端对 Google 进行身份验证，但我不希望应用程序拥有对用户日历的完全访问权限，因为 Secret令牌存储在服务器上。
那么，这通常是如何处理的呢？我想尽可能地按书本做，而不必实现大量的安全代码。
顺便说一句，虽然问题太高了，但请随时向我指出技术文档。
谢谢