Shopify应用启动页Access Token验证及重装报错排查咨询

一、Access Token有效性检查 #

直接调用Shopify的Authenticated Admin API做验证，优先选无副作用、权限要求低的接口，比如/shop.json（获取店铺基础信息）——这个接口几乎所有应用都能访问，不会修改数据，适合做有效性校验。

实操步骤： #

• 拿到待验证的access token和店铺域名
• 构造请求：
  • 请求URL：https://{shop-domain}/admin/api/2024-07/shop.json（替换成当前Shopify稳定支持的API版本）
  • 请求头：必须携带X-Shopify-Access-Token: {your-access-token}
• 响应判断逻辑：
  • 返回200状态码且能正常解析店铺数据 → token有效
  • 返回401（未授权）或403（禁止访问） → token无效，直接引导用户走OAuth重新授权
  • 返回5xx错误 → 可重试1-2次，排除临时网络/Shopify服务器波动的误判

代码示例（Node.js）： #

async function validateShopifyToken(shopDomain, accessToken) {
  try {
    const response = await fetch(`https://${shopDomain}/admin/api/2024-07/shop.json`, {
      headers: {
        'X-Shopify-Access-Token': accessToken,
        'Content-Type': 'application/json'
      }
    });

    if (response.status === 200) {
      const shopData = await response.json();
      return { valid: true, shopInfo: shopData.shop };
    } else if ([401, 403].includes(response.status)) {
      return { valid: false, reason: 'Token无效或已过期' };
    } else {
      throw new Error(`Shopify API请求失败: ${response.status}`);
    }
  } catch (error) {
    console.error('Token校验出错:', error);
    return { valid: false, reason: '网络或API服务异常' };
  }
}

二、新安装状态判断 #

启动页判断是否为新安装，结合两种方式更稳妥：

1. OAuth授权的state参数校验
   • 发起OAuth请求时，生成唯一的state值（比如UUID），存入会话或临时数据库，关联店铺的临时状态
   • 用户授权后跳转回启动页时，Shopify会带回这个state参数，对比存储的值验证请求合法性
   • 验证通过后，检查数据库中是否已有该店铺的记录：
     • 无记录 → 判定为新安装，执行初始化操作（比如创建默认配置、触发首次计费检查）
     • 有记录 → 判定为重装/重新授权，更新数据库中的access token及相关信息
2. 结合token验证结果
   • 如果启动页检测到已有店铺记录，但token校验失败，说明是卸载后重装的场景，直接走OAuth重新授权，授权完成后更新旧记录而非创建新记录

三、启动页完整流程 #

1. 用户访问启动页时，先检查会话/数据库中是否存在该店铺的access token
2. 有token时：
   • 先调用token校验接口，有效则继续用Billing API检查charge ID有效性，有效进入应用主页，无效跳转计费页
   • 无效则清除旧记录，跳转OAuth授权页
3. 无token时：
   • 检查是否有OAuth回调参数（如code、state）：有则完成OAuth流程获取新token，存储后判断新安装状态并执行初始化，再检查计费；无则直接跳转OAuth授权页

内容的提问来源于stack exchange，提问作者Will