允许第三方往主题里加代码吗

先把判断放在前面：主题代码权限等于站点控制权，可以注入任意脚本、窃取结账数据。

1处理顺序

1. 给协作者账号，只授予「主题」权限，不给「设置」与「支付」。
2. 要求所有改动走 Git，通过 CLI 部署，保留记录。
3. 定期 review 主题代码变更。
4. 合作结束后立即移除权限并审查代码。
5. 支付与客户数据相关页面单独做完整性检查。

结账页的脚本注入是最危险的场景，可以直接窃取卡信息。所以结账相关代码的变更必须自己审。