customers/redact 回调到底该删哪些顾客数据

现象#

收到 customers/redact 后不知道要删哪些字段；商家在后台点 Erase personal data 之后订单号还在，怀疑没删干净。

原因#

• payload 只给 customer.id、email、phone 与 orders_to_redact，不含订单明细与地址
• 顾客近六个月内下过单时，Shopify 会推迟到六个月后才发 redact，不是漏发
• Shopify 侧抹掉的是顾客 PII，订单本身按税务要求保留，两者不是同一件事
• 要求在 30 天内完成，逾期 Shopify 不会补发，也不会因为没删成功而重试

处理步骤#

1. 按 shop_id 加 customer.id 定位本地所有关联表，包括日志与备份索引
2. 把 email、phone、地址、备注清空，或替换成 redacted-{id}@example.com
3. 保留 orders_to_redact 里的订单号做审计，但不保留任何联系方式
4. 接口做成幂等，同一 customer.id 重复投递要能重复执行且不报错
5. 用 shopify app webhook trigger 发一条测试 redact，确认返回 200 且数据已清

验收标准#

触发一次测试 redact 后，本地表里该顾客的 email 与 phone 为空，日志记录 200，订单号仍然保留。