Storefront API token 需要哪些权限才够用

现象#

新建的 Headless 渠道 token 查询商品正常，但读不到库存或 metafield，报未授权。

原因#

• 创建 token 时未勾选 unauthenticated_read_product_inventory
• metafield 需要 unauthenticated_read_metaobjects 或对应字段权限
• 误用了只读产品目录的 scope

处理步骤#

1. 在「销售渠道 → Headless → API 访问」里按需勾选 scope
2. 商品与库存：unauthenticated_read_product_listings + unauthenticated_read_product_inventory
3. 客户与购物车按实际功能单独勾选，遵循最小权限
4. 修改 scope 后旧 token 仍有效，但需确认新权限已生效

验收标准#

所需字段全部可读，未申请的字段仍被拒绝，无越权访问。