基于Firebase的Shopify Plus应用实现现有店铺用户登录认证问询

可行，但不能直接让用户输入Shopify的邮箱和密码在你的应用中登录——Shopify不允许第三方应用直接获取用户的密码凭证，这违反平台安全规范。正确的实现方式是通过Shopify OAuth 2.0授权流程，结合Firebase自定义身份验证，让用户通过Shopify账号授权登录你的应用，无需单独注册。

1. 配置Shopify应用（Shopify Plus环境） #

• 在Shopify Partner后台创建或配置你的应用，设置重定向URL为你的应用中处理OAuth回调的地址（比如https://your-app.com/auth/shopify/callback）。
• 记录应用的API Key和API Secret Key，后续会用到。
• 确保应用请求的权限范围（scopes）包含read_customers（如果需要获取用户基础信息），根据业务需求添加必要权限。

2. 实现Shopify OAuth授权流程 #

• 在应用登录页面提供「用Shopify账号登录」按钮，点击后跳转至Shopify授权URL：

  https://{shop-domain}.myshopify.com/admin/oauth/authorize?client_id={api-key}&scope={scopes}&redirect_uri={redirect-uri}&state={random-state}
  

  其中{shop-domain}是目标Shopify Plus店铺域名，{scopes}是申请的权限（比如read_customers），{random-state}是防CSRF的随机字符串。
• 用户在Shopify页面完成授权后，会跳转回回调地址并携带code参数。
• 后端用code、API Key、API Secret Key向Shopify请求访问令牌：

  POST https://{shop-domain}.myshopify.com/admin/oauth/access_token
  

  请求体包含client_id、client_secret、code三个参数。
• 成功获取access_token后，调用Shopify Admin API接口获取用户信息：如果是店铺前台顾客，调用/admin/api/2024-07/customers/search.json；如果是店铺后台员工，调用/admin/api/2024-07/users/current.json，拿到用户的唯一标识（如id）和邮箱等信息。

3. 集成Firebase自定义身份验证 #

• 在Firebase控制台启用「自定义身份验证」功能。
• 后端通过Firebase Admin SDK，用Shopify返回的用户唯一标识生成自定义令牌：

  // Node.js示例代码
  const admin = require('firebase-admin');
  const serviceAccount = require('./firebase-service-account.json');
  
  admin.initializeApp({
    credential: admin.credential.cert(serviceAccount)
  });
  
  // 用Shopify用户ID拼接成Firebase用户UID，确保唯一性
  const uid = `shopify_${shopifyUserId}`;
  const customToken = await admin.auth().createCustomToken(uid, {
    email: shopifyUserEmail,
    shopifyId: shopifyUserId
    // 可添加其他业务需要的用户属性
  });
  

• 将自定义令牌返回给前端，前端用Firebase客户端SDK完成登录：

  // 前端JavaScript示例
  import { getAuth, signInWithCustomToken } from "firebase/auth";
  
  const auth = getAuth();
  signInWithCustomToken(auth, customToken)
    .then((userCredential) => {
      // 登录成功，用户已关联Firebase账号
      const user = userCredential.user;
    })
    .catch((error) => {
      // 处理登录错误
    });
  

4. 处理用户关联逻辑 #

• 首次登录：Firebase自动创建新用户，关联Shopify用户的信息。
• 后续登录：通过Shopify用户的唯一标识匹配Firebase中的用户UID，生成自定义令牌完成登录，实现无缝访问。

• 必须使用Shopify OAuth流程，禁止直接收集用户的Shopify邮箱和密码，否则会被Shopify封禁应用。
• 验证OAuth流程中的state参数，防止CSRF攻击。
• 权限范围最小化，只申请业务必需的Shopify API权限，提升用户信任度。

内容的提问来源于stack exchange，提问作者Jonas