Shopify CLI 新增应用安全扫描命令
一条命令检查未鉴权路由、跨店数据访问、未验签 webhook 等常见漏洞，并给出文件与行号。
发生了什么#
Shopify 在 CLI 的 AI Toolkit 里加了一个安全扫描命令，用于检查应用代码里最常见的漏洞模式：未鉴权的路由、跨店铺的数据访问、未验证签名的 webhook。输出会定位到文件与行号，给出严重级别和修复示例，开发者可以让 AI 编码助手按提示修改。
关键细节#
- 覆盖未鉴权路由、跨店数据访问、未验签 webhook 三类高频问题
- 报告包含受影响文件、行号、严重级别与建议写法
- 属于本地静态检查，不会访问生产数据
- Shopify 称小范围测试中，多数合作方都发现了此前不知道的问题
- 官方明确它不替代人工安全评审与依赖扫描
对商家与开发者的影响#
应用审核与上线前多了一道低成本检查，尤其是中小团队最容易漏掉的 webhook 验签。
静态检查只能发现已知模式，业务逻辑层面的越权仍需人工 review。把它当作第一道筛子，而不是安全工作的全部。
建议动作#
- 把该命令加入 CI 的合并前检查
- 对报告中「跨店数据访问」的告警逐条确认租户隔离逻辑
- webhook 端点统一走验签中间件，避免逐个补
原文与编译说明
- 原文标题
- App security checks with AI Toolkit
- 发布来源
- Shopify 开发者新闻
- 发布时间
- 2026-10-28
本文为中文编译摘要，包含站方补充的背景与影响分析，不是原文的逐字翻译。版权归原作者与发布方所有。若原文后续更新或信息有误，以官方页面为准；发现错误可发邮件到 admin@fgwljs.com 指出。
新闻栏目由 风格技术 技术团队维护，每个工作日筛选 Shopify 官方渠道与行业媒体的更新。功能是否可用，以店铺后台实际显示与官方文档为准。
