如何将Python FastAPI独立应用公开发布至Salesforce AppExchange

关于发布是否必须使用Connected Apps #

必须使用，没有例外。你现在用的「用户名+密码+安全令牌」直接调用SOAP接口登录拉数据的模式，属于Salesforce明确标记的高风险认证方式，AppExchange安全审查第一轮就会直接打回。
Connected App是Salesforce对所有第三方集成应用的统一身份管控入口，不管你是独立部署的FastAPI服务、还是嵌入Salesforce界面的原生应用，只要需要访问用户Salesforce组织内的数据，就必须先在你自己的Salesforce合作伙伴开发者组织内创建对应Connected App，走标准OAuth2.0授权流程获取访问凭证——你现在要求用户提供账号密码、安全令牌的逻辑必须完全移除，后续用户使用你的应用时，只需要在Salesforce的授权页点确认，你的FastAPI服务就能拿到合法的访问令牌，全程不需要接触用户的账号密码、安全令牌信息，既符合安全要求，也能避开用户开MFA、IP登录限制导致的接口调用失败问题。
配置Connected App的时候注意权限最小化，你只需要做SOQL查询的话，只勾选api、refresh_token, offline_access两个权限范围就行，别多申请没用的高风险权限。

纯API类独立应用的特殊发布要求 #

纯API类、带独立运行URL的应用是允许上架AppExchange的，不会因为没有嵌入Salesforce的前端界面被拒审，但要满足几个硬性要求：

• 认证逻辑强制合规：绝对不能收集、存储用户的Salesforce账号密码、安全令牌，所有访问凭证必须通过Connected App的OAuth流程获取，服务端存储refresh_token、access_token时必须做AES256级别的加密，禁止明文存储。
• 安全扫描必须达标：提交发布前必须通过Salesforce官方的Checkmarx代码安全扫描，针对你这种Python写的独立服务，重点排查几个问题：代码里有没有硬编码的密钥、日志里有没有打印用户凭证/令牌、接口有没有未授权越权访问风险、拼接SOQL语句时有没有注入漏洞（必须用参数化查询，不能直接把用户传入的字符串拼到SOQL里）。
• 信息披露必须充分：因为你的应用跑在你自己的服务器上、不是托管在Salesforce基础设施上，你必须在应用详情页、安装说明里明确告知用户：数据授权后会传输到你的独立服务、你的服务的数据存储地域、数据留存规则、用户撤销授权的方式、对应隐私政策和服务条款，不能误导用户以为应用运行在Salesforce侧。
• 功能与权限匹配：你申请的所有OAuth权限、接口访问范围，必须和你公开的应用功能一一对应，审查人员会逐项核对，没法说明用途的高风险权限会直接导致审核不通过。

实操起步指引 #

按下面的顺序走就能跑通全流程：

1. 先注册Salesforce合作伙伴开发者版组织，普通免费开发者版没有AppExchange发布权限，这个组织是你后续发布所有应用的主体。
2. 登录该组织，在设置页找到「App管理器」，新建Connected App：填写应用名称、logo、隐私政策和服务条款说明，开启OAuth设置，回调地址填你FastAPI服务的OAuth回调路由，比如https://<你的FastAPI服务域名>/salesforce/callback，勾选前面说的最小必要权限范围，保存后拿到对应的Consumer Key和Consumer Secret，把这两个值配置到你的FastAPI服务里，把原来的用户名密码登录逻辑替换成标准OAuth授权码模式流程。
3. 做一个最小化的安装引导包：纯API类应用不需要做复杂的Salesforce端功能，你可以做一个最简单的Lightning组件，用户安装后点组件里的按钮，直接跳转到你FastAPI服务的授权引导页就行，这个包是你上传到AppExchange的安装载体。
4. 登录Salesforce合作伙伴社区，创建新的AppExchange应用列表，填写应用介绍、功能说明、定价信息，上传你做好的安装包，先跑官方免费的Checkmarx安全扫描，扫描出的问题全部整改完成后，提交人工安全审查。
5. 按照审查团队的反馈补全材料、整改问题，纯API类应用如果没有高风险问题，审查周期一般在4-6周，审查通过后设置公开可见，其他用户就能在AppExchange检索到你的应用了。

提醒一句：别抱着侥幸心理保留原来的用户名密码+安全令牌的认证逻辑，现在Salesforce已经在全量推广MFA、逐步收紧非OAuth模式的API访问权限，就算你不上架AppExchange，这套逻辑后续也会在越来越多的用户组织里失效，早改OAuth早省心。

内容的提问来源于stack exchange，提问作者Pushkal Bhatia