Shopify 主题里不要硬编码密钥

现象#

主题或公开仓库中出现接口密钥、私钥或后台密码；安全扫描报警。

把密钥写进主题设置或脚本以求“方便调试”。

原因#

主题代码会公开给店面访客中的部分资源路径，不适合存放机密。

开发图方便把令牌提交到版本库。

解决步骤#

立即轮换所有已暴露的密钥与密码，不要只删除文件。

从主题、脚本与版本历史中清除机密，必要时视为已泄露。

机密只放在服务端或平台提供的安全配置，不放店面主题。

对仓库做全历史扫描，清理误提交。

培训主题开发者：店面可下载的资源等于公开。

对照平台安全最佳实践文档自查。

验收#

主题与公开库无机密；旧密钥失效；新密钥仅存在于安全位置。

权限变更后对方需重新登录才刷新；只改角色不强制下线会让验收误判。