安全性如何與應用程序一起工作？

Question

我不明白安全性如何與shopify應用程序配合使用。假設我有一個運行我的應用程序的網站。我使用示例django應用程序和pixelprinter應用程序構建我的應用程序。

因此，如果我沒有存儲在我的網絡會話中的令牌，我將重定向到用戶必須輸入商店名稱的登錄頁面。然後我向商店發送OAuth2請求，用戶必須輸入商店的密碼才能安裝應用程序。這對我來說很清楚。

假設我的應用程序被安裝到商店。現在，如果我在登錄屏幕中輸入相同的商店名稱，並將其重定向到商店，商店就會看到該應用程序已安裝，並且不會要求用戶輸入密碼。它是否正確？至少看起來如此。

所以除非我爲從Shopify之外訪問它的用戶爲我的應用程序實施附加安全性，否則我有安全漏洞。正確？任何人都可以輸入商店名稱，如果這家商店恰好安裝了我的應用程序，那麼他們將能夠看到數據。

請說明。

Answer 1

即使您已經授權該應用程序，任何進入該URL的其他人都必須在繼續操作之前使用Shopify進行身份驗證。

由於您已輸入商店名稱並已登錄，因此您的瀏覽器有一個會話，當您在應用上再次輸入商店名稱時，顯示後續請求中不需要登錄。如果您要去Shopify並註銷（或在另一個瀏覽器中嘗試），然後輸入商店名稱，則您將被重定向到登錄頁面，然後才能繼續。