Shopify API token 泄露后怎么处置

现象#

token 被误提交到公开仓库或出现在前端代码里，担心被人调用接口。

原因#

• 密钥硬编码在前端或仓库
• 日志打印了 token
• 员工本地环境泄露

处理步骤#

1. 立刻在应用后台轮换/撤销该 token
2. 自定义应用重新安装生成新凭证
3. 全仓库扫描密钥，加入 .gitignore 与提交前检查
4. 审计调用日志，确认是否有异常写入

验收标准#

旧 token 失效，新凭证仅存于服务端密钥管理，无异常调用与数据变更。