Shopify 后台没有 IP 白名单该怎么替代

现象#

安全审计要求后台只能从公司出口 IP 登录，但 Settings 里找不到 IP 白名单，员工在咖啡店仍能直接进后台。

原因#

• Shopify 后台登录没有面向商家的 IP allowlist 开关，无法按网段限制
• Plus 可用组织级 SAML SSO，把登录收敛到 IdP 后再做设备与网络策略
• 每个用户可单独要求安全登录方式，但默认不强制，新员工容易漏
• API 侧另有 IP allowlist，能限制令牌只能从固定出口调用

处理步骤#

1. 在 Settings > Users 逐个打开用户，把 安全登录方式 设为要求
2. Plus 在组织设置的 Security 页选 Required for all users
3. 接 SAML SSO，在 IdP 侧加设备合规与登录地策略，非公司网络直接拒绝
4. 给自建应用配 API IP allowlist，让泄露的 shpat_ 只能从公司出口使用
5. 每季度用 staffMember 查询核对人员，离职账号立即 Suspend

验收标准#

非公司网络登录被 IdP 拒绝，白名单外调用 Admin API 返回 403，Users 列表没有多余或共享账号。