shopify - 安全性如何与应用程序一起工作？

Question

关闭。这个问题是off-topic .它目前不接受答案。












想改善这个问题吗？ Update the question所以它是 on-topic对于堆栈溢出。

8年前关闭。




Improve this question




我不明白安全性如何与 shopify 应用程序配合使用。假设我有一个运行我的应用程序的站点。我正在使用示例 django 应用程序和 pixelprinter 应用程序作为示例构建我的应用程序。

因此，如果我的网络 session 中没有存储 token ，我将重定向到用户必须输入商店名称的登录页面。然后我向商店发送 OAuth2 请求，用户必须输入商店的密码才能安装应用程序。这对我来说很清楚。

假设我的应用程序被安装到一家商店。现在，如果我在登录屏幕中输入相同的商店名称，然后重定向到商店，商店将看到该应用程序已安装，并且不会要求用户输入密码。这是正确的吗？至少看起来是这样。

因此，除非我为从 shopify 外部访问我的应用程序的用户实现额外的安全性，否则我有一个安全漏洞。正确吗？任何人都可以输入商店名称，如果这家商店碰巧安装了我的应用程序，那么他们将能够看到数据。

请澄清。

Answer 1

即使您已授权该应用程序，在 URL 中输入的任何其他人也必须在继续之前通过 Shopify 进行身份验证。

因为您已经输入商店名称并登录，所以您的浏览器有一个 session ，这使得当您在应用程序上再次输入商店名称时，后续请求似乎不需要登录。如果您要转到 Shopify 并注销(或在其他浏览器中尝试)，然后输入商店名称，您将被重定向到登录页面，然后才能继续。