25
做 Headless 站，前端需要调 Storefront API，不确定 token 放浏览器里安不安全。
已采纳 · 提问者确认解决
64
先把判断放在前面：公开访问令牌（public token）本来就是给前端用的，它只能读已发布的商品数据，不能写。
1处理顺序
- 用
public类型的 Storefront access token，不要用 private。 - Token 只授予最小 scope，通常
unauthenticated_read_product_listings足够。 - Private token 绝不能出现在前端代码或仓库里。
- 需要写操作（购物车、客户）时用 Storefront API 的购物车接口，它不需要额外密钥。
- 给 token 设置来源域名限制（如支持）。
验收：前端能正常读取商品数据，private token 不出现在任何客户端代码中。
风
风格技术团队 回答于 25 天前
