shopify-prod-checklist

用途：这是一个 Shopify 应用生产部署前的检查清单，用于在正式上线或提交 Shopify App Store 前逐项核对配置、合规与安全事项。\n\n主要能力与检查范围：\n1. API 与认证：使用近期稳定 API 版本（如 2025-04）而非 unstable；访问令牌存入安全环境变量；API secret 安全保存用于 webhook HMAC 校验；在干净开发店验证 OAuth 全新安装；会话持久化使用数据库或 Redis 而非内存；处理令牌刷新与重认证；APP_UNINSTALLED webhook 清理会话。\n2. 强制 GDPR 合规：实现 customers/data_request、customers/redact、shop/redact（卸载后 48 小时触发）三个 webhook，均在 shopify.app.toml 配置，5 秒内返回 HTTP 200，并实际验证客户数据删除有效。\n3. Webhook 安全：用 HMAC-SHA256 校验 X-Shopify-Hmac-Sha256，使用 crypto.timingSafeEqual() 比较签名，端点采用原始 body 解析，处理重复投递的幂等性。\n4. 限流韧性：优化 GraphQL 查询（用 debug 头查看 requestedQueryCost），对 429/THROTTLED 做指数退避重试，大数据导出用 bulk operations，避免无界循环。\n5. 错误处理：检查 GraphQL 变更的 userErrors 数组（可能 200 但含错误），捕获并记录 4xx/5xx 与 X-Request-Id，Shopify 不可用时优雅降级，不记录 PII。\n6. App Store 提交：清晰的应用名称、描述与截图；隐私政策 URL；新商户引导流程；嵌入式应用使用 App Bridge；设置 CSP frame-ancestors https://*.myshopify.com https://admin.shopify.com；桌面与移动端均可使用；API 调用期间显示加载状态。\n7. API 版本管理：可用 curl 查询受支持版本，示例：\ncurl -s -H "X-Shopify-Access-Token: $TOKEN" "https://$STORE/admin/api/versions.json" | jq '.supported_versions[] | select(.supported == true) | .handle'\nShopify 约在版本发布 12 个月后弃用，建议每季度提醒升级。\n8. 健康检查端点：检测 Shopify API 连通性与数据库可用性，返回含延迟指标的结构化状态。\n\n输出与告警：全部清单项通过、健康检查端点可用、GDPR webhook 正常，即可准备上线或提交审核。告警条件包括：Shopify API 宕机（5xx>5/分钟，P1）、认证失败（401>0，P1）、被限流（THROTTLED>5/分钟，P2）、高延迟（p95>3000ms，P2）、webhook 失败（投递成功率<95%，P2）。另附部署前冒烟测试脚本，用于校验认证与 API scopes。\n\n限制：资料未提供完整健康检查端点与冒烟测试脚本代码；具体实现方式、价格、平台支持等信息暂未提供。