Google OAuth2.0 允许不在测试用户列表中的用户

我正在开发一个允许用户使用 OAuth2.0 使用他们的 Google 帐户登录的网络应用程序。我创建了一个 OAuth2.0 客户端 ID，将 OAuth 同意屏幕配置为发布状态设置为“测试”，并添加了一个测试用户。

我的应用程序的前端是用 React 构建的，我正在使用一个包 (react-google-login) 来处理流程。我可以使用我添加为测试用户的 Google 帐户成功登录，并检索所需的基本个人资料信息。

问题是我还可以使用其他 Google 帐户登录，这些帐户尚未添加到测试用户列表中。我认为 Google 不应该为不在测试用户列表中的帐户颁发访问令牌。

我觉得我对 OAuth 过程有一些误解，或者我配置了错误的东西。如果有人有任何指点，我将不胜感激？

谢谢。