嵌入式应用的会话令牌：别再存长期 access token

发生了什么#

嵌入式应用（在 Shopify 后台里打开的应用）现在推荐用会话令牌（session token）机制：前端从 App Bridge 拿到一个短时 JWT，后端验证后再换取访问权限。过去的做法是把长期 access token 存进数据库反复使用，这种模式在安全上更脆弱，也不符合新审核要求。

关键细节#

• 前端通过 App Bridge 获取短时会话令牌
• 后端验证 JWT 签名后换取或使用访问权限
• 避免长期存储明文 access token
• 与强制 Webhook、隐私端点一起构成上架要求
• 令牌过期需要自动刷新，不能靠用户重开页面
• 令牌验证需校验签名、过期时间与商店域名
• 401 应触发一次静默刷新，而不是直接弹错误

对商家与开发者的影响#

安全事件里最常见的原因是令牌泄露：长期令牌一旦进了日志或代码仓库，等于把店铺权限交出去。短时令牌把窗口压到分钟级。

实现上要注意时钟偏差与并发刷新，否则会出现「偶发 401」，很难复现。

对商家，这类改造通常无感；但如果应用频繁要求重新授权，多半是令牌刷新逻辑没做好。

建议动作#

1. 检查是否还在数据库明文存储长期令牌
2. 实现令牌自动刷新与 401 重试
3. 把令牌排除在日志与错误上报之外