Shopify公开应用GraphQL查询时部分商户订单等字段访问被拒绝

触发原因 #

• 最核心的常见原因是使用了**在线访问令牌（Online Access Token）**调用接口：@shopify/koa-shopify-auth默认返回的在线令牌和当前登录的店员账号权限绑定，即便应用本身已经申请了对应权限，如果登录的店员没有订单、商品的查看权限，调用就会返回访问拒绝，这也符合仅部分商户触发的特征（只有用低权限店员账号登录授权的商户会报错）。
• 商户未重新授权更新权限：你提交应用审核新增了read_all_orders等权限后，之前已经安装过应用的商户如果没有重新走授权流程，本地存储的旧令牌对应的权限不会自动更新，即便后台查询权限显示正常，也可能存在令牌和权限绑定的同步异常。
• 令牌缓存错位：多商户场景下如果存在令牌缓存逻辑，可能出现不同商户的令牌混用问题，调用A商户的接口时传了B商户的令牌，自然会返回权限错误。
• 商户侧手动限制了应用权限：部分商户可能在安装应用后，手动在Shopify后台调整了对你的应用的访问范围，限制了订单、商品的访问权限。

解决方案 #

• 优先切换为离线令牌调用后台类接口：数据同步、拉取订单/商品这类和登录店员无关的操作，统一使用离线访问令牌（Offline Access Token）调用，离线令牌的权限仅和应用申请的scope绑定，不受店员账号权限影响。在@shopify/koa-shopify-auth的配置中开启accessMode: 'offline'即可获取离线令牌。
• 重新触发报错商户的授权流程：针对已经出现问题的商户，引导其重新走应用授权流程，获取新的有效令牌后再测试接口调用，排除旧令牌权限同步异常的问题。
• 排查令牌校验逻辑：每次调用接口前校验当前使用的令牌和商户的对应关系，避免令牌张冠李戴的情况。
• 确认API版本有效性：调用时指定官方维护的稳定版API版本，避免使用已废弃的API版本导致的权限校验异常。
• 核对商户侧配置：如果上述方案都无效，可以联系报错商户确认是否在后台手动限制了你的应用的访问权限。

内容的提问来源于stack exchange，提问作者user10004737