如何在Shopify应用外通过Node.js获取Access Token并修复代码

一、自动获取Access Token的核心流程 #

你能正常打开授权页，说明第一步生成授权URL的逻辑没问题，问题基本出在授权后的token交换环节。完整的OAuth授权流程是：

1. 生成携带权限范围（scope）的授权URL，引导商家跳转授权
2. 商家授权后，Shopify会重定向到你配置的回调URL，附带code临时授权码
3. 用code+你的API密钥+API密钥密码，向Shopify的/admin/oauth/access_token接口POST请求，交换正式的Access Token
4. 将获取到的Token存入会话或数据库，后续调用产品/库存API时从存储中取出使用

二、常见故障点排查 #

• 回调URL不匹配：检查Shopify应用后台的“重定向URL”是否和代码中设置的回调地址完全一致，包括协议（http/https）、域名、路径，哪怕多一个斜杠都会失败
• token交换参数错误：必须提交client_id（你的API密钥）、client_secret（API密钥对应的密码）、code（授权后拿到的临时码）三个参数，且请求方式为POST，Content-Type需设为application/json或application/x-www-form-urlencoded
• 会话存储失效：自动获取Token后，是否正确写入了会话？后续调用API时是否能从会话中读取到有效Token？
• 权限范围不足：生成授权URL时的scope必须包含read_products和read_inventory，否则即使拿到Token，也没有权限拉取产品和库存数据

三、修复后的代码示例 #

1. 生成授权URL（确保权限范围正确） #

const shopifyApiKey = '你的Shopify API密钥';
const redirectUri = 'https://你的域名/auth/callback'; // 和Shopify后台配置的重定向URL完全一致
const requiredScopes = 'read_products,read_inventory';

function getInstallUrl(shopDomain) {
  return `https://${shopDomain}/admin/oauth/authorize?client_id=${shopifyApiKey}&scope=${requiredScopes}&redirect_uri=${encodeURIComponent(redirectUri)}`;
}

2. 回调接口交换Token #

const axios = require('axios');
const shopifyApiSecret = '你的Shopify API密钥密码';

async function exchangeAuthorizationCode(shopDomain, authCode) {
  try {
    const response = await axios.post(
      `https://${shopDomain}/admin/oauth/access_token`,
      {
        client_id: shopifyApiKey,
        client_secret: shopifyApiSecret,
        code: authCode
      },
      {
        headers: { 'Content-Type': 'application/json' }
      }
    );
    // 返回的data包含access_token、scope等信息
    return response.data.access_token;
  } catch (error) {
    console.error('Token交换失败详情:', error.response?.data || error.message);
    throw new Error('无法获取Access Token');
  }
}

3. 调用产品/库存API（从会话取Token） #

假设用Express框架处理路由：

// 引入express和session中间件（需提前配置session存储）
const express = require('express');
const app = express();
const session = require('express-session');

app.use(session({
  secret: '你的会话密钥',
  resave: false,
  saveUninitialized: false,
  // 生产环境建议用Redis等持久化存储
}));

// 回调路由
app.get('/auth/callback', async (req, res) => {
  const { shop, code } = req.query;
  if (!shop || !code) {
    return res.status(400).send('缺少必要参数');
  }

  try {
    const accessToken = await exchangeAuthorizationCode(shop, code);
    // 将Token存入会话
    req.session.shopify = { shop, accessToken };
    
    // 测试拉取产品和库存
    const products = await fetchProducts(shop, accessToken);
    res.json({ success: true, products });
  } catch (err) {
    res.status(500).json({ success: false, error: err.message });
  }
});

// 拉取产品及库存数据
async function fetchProducts(shopDomain, accessToken) {
  try {
    // 使用当前稳定的Shopify API版本，比如2024-07
    const response = await axios.get(
      `https://${shopDomain}/admin/api/2024-07/products.json?fields=id,title,inventory_quantity`,
      {
        headers: { 'X-Shopify-Access-Token': accessToken }
      }
    );
    return response.data.products;
  } catch (error) {
    console.error('产品拉取失败详情:', error.response?.data || error.message);
    throw new Error('无法获取产品数据');
  }
}

四、额外注意事项 #

• 本地开发时必须用HTTPS：Shopify要求回调URL必须是HTTPS，可使用ngrok等工具生成隧道映射本地服务
• 及时更新API版本：示例使用2024-07版本，建议跟随Shopify官方的稳定版本更新
• 详细错误日志：在Token交换和API调用环节，打印完整的错误响应数据，Shopify会明确提示错误原因（比如参数错误、权限不足）

内容的提问来源于stack exchange，提问作者MXX