Новости и разборы
Доступ приложения: меньше прав и меньше лишних данных в пути
Shopify, Vercel и Auth0 описывают разные границы доступа. Проверяйте разрешение записи, метаданные аккаунта и передачу тела запроса отдельно.
Приложению разрешили запись для настройки, а после подключения оставили тот же объём полномочий. Пользователь меняет профиль, рядом находятся сведения о платном доступе. Запрос проходит несколько обработчиков, хотя не каждому нужно его содержимое. Три октябрьских публикации помогают рассмотреть эти границы по отдельности.
Сокращение разрешений имеет условия версии
Shopify 7 октября анонсировал appDowngradeAccessScopes для Admin GraphQL API 2027-01. Это будущая версия API. Операция касается необязательных write scopes вызывающего приложения с соответствующим read scope; обязательные разрешения не снимаются. Нельзя описывать её как уже общедоступное действие любой установленной интеграции.
Для вашей системы полезно понять, почему право записи остаётся после настройки. Иногда следующий процесс действительно требует изменения данных, иногда ему достаточно чтения. Решение нужно принимать по используемым операциям, а не по одному широкому набору при подключении.
Промежуточный слой может не читать содержимое
Vercel 8 октября описал skipMiddlewareRequestBody: тело запроса можно не передавать в Routing Middleware, если тот его не читает. Functions и целевые обработчики rewrite продолжают получать тело. Настройка по умолчанию выключена, а изменение требует повторного деплоя.
Это не удаление данных из всего пути и не замена проверке конечного обработчика. Связь с разрешениями состоит в минимизации того, что реально нужно каждому слою. Перед включением следует найти места, где middleware зависит от содержимого запроса.
Право пользоваться продуктом не должно редактироваться как профиль
Auth0 5 октября объяснил различие user_metadata и app_metadata. Пользовательские сведения и данные, влияющие на доступ, имеют разные границы изменения; для последних предусмотрен привилегированный серверный доступ.
Сопоставление показывает три вопроса к одному приложению: какие действия разрешены интеграции, кто может менять основание доступа и какой обработчик получает данные. Уменьшение одного слоя не исправляет ошибку другого. Эти продукты не представлены общей проверенной защитой.
Приёмка с ограниченным пользователем
Для пилота опишите одну операцию чтения и одну операцию изменения. Проверьте их под ролью с меньшими правами и повторите после изменения профиля. Пользовательское поле не должно незаметно стать основанием для новых привилегий.
Отдельно пройдите запрос с телом через маршрут и убедитесь, что конечное действие продолжает работать. Сохраните перечень зависимостей и условий включения настройки. При сокращении scopes проверьте конкретную версию и допустимые разрешения заново.
Бизнес-правила помогают зафиксировать границы. В архивной схеме собственного API описаны права без утверждения о внедрении этих новинок. Для вашей API-интеграции обсудите необходимые действия и путь данных.