Shopify 新增跳转提示，商家该怎样检查结账流程

10月还陆续出现恶意代码把顾客从真实结账页引走的报告。两件事彼此独立，但放在一起看，商家可以先做两件事：重新检查受信任域名，亲自测试一遍结账。

顾客会看到什么，哪些域名不会触发提示

提示会显示目标网址，顾客可以选择继续前往，或者返回商店。已连接到商店的域名、Shopify 网站以及受支持的社交平台都不会触发提示。Shopify 特别说明：你自己拥有、但还没连接到商店的网站，仍然可能触发提示。

也就是说，如果商店会把顾客带到你名下另一个未连接的网站，顾客可能要多点一次确认。Shopify 举了两个受信任域名的例子：预约工具和合作伙伴网站。

注意，只添加确定属于你、或属于你熟悉的合作伙伴的域名。

部分商店的顾客经由应用被带到假支付页

Shopify 这次改动之外，有两篇文章描述了另一种攻击，时间早于这次公告。Roman Zipp 在一家店购物时遇到这个问题，随后自行调查，10月10日发文，2026年10月21日更新。据这篇文章描述，恶意 JavaScript 会把点击 Checkout 的顾客带到假支付页，窃取银行卡信息，再把顾客送回真实结账页。

应用开发者也出面说明了情况。Selleasy 记录了10月13日的事件：有未经授权的脚本混进了它服务的部分商店。Swym 表示，10月14日 UTC 时间10:06至11:56，一小部分店面上点击结账的顾客可能遭到重定向，去了外部页面。Selleasy 称已删除脚本，Swym 称已修复漏洞。Kurt Elster 在文章中列出三款开发者已确认涉事的应用：Hulk Product Options、Selleasy 和 Swym Wishlist Plus。

恶意代码不在主题里，所以只检查主题文件还不够。 Ethercycle 联合创始人、Unofficial Shopify 播客主持人 Elster 在 2026年10月20日的文章中写道：这段代码由应用服务商的服务器下发，每个浏览器会话只运行一次，因此同一会话里第二次测试可能看起来一切正常。目前还没有受影响商店数量的官方数据，也没有任何来源说 Shopify 结账系统本身遭到入侵。

关于跳转提示的更新日志没有提到这起事件，我们读到的资料也没说明新提示能否拦住这类跳转。所以现阶段，不要把新提示当成结账的保护措施。

第二件事：亲自测试商店结账。

如果商店装了上面三款应用中的任何一款，建议问问开发者，你的商店是否在受影响范围内。Swym 页面提到，受影响商家可能需要依照数据相关法律通知顾客或监管机构，但没有指明具体哪部法律。如果你属于这种情况，最好咨询法律专业人士。

如果商店有自己的开发者

Shopify 在2026年10月20日发布的这篇文章标着“Action required”。Shopify 要求开发者在文章发布当周内完成几件事：用新的安全检查扫描应用，改用有效期访问令牌（expiring access token），为相关账号开启双重验证，并更新紧急联系邮箱。Shopify 很快会要求 App Store 上所有公开应用都使用有效期令牌，但还没公布日期。

扫描命令 shopify app security check 从 2026年10月15日起就已上线。Shopify 提醒，扫描结果干净不等于安全有保证。如果商店有自己的开发者，可以问问他们这些步骤做完没有。

Shopify 还会为 API key 加上 IP 限制，并提高 App Store 的要求，每项改动之前都会先公布细节和时间。修复事故、通知受影响商家是开发者的责任，所以有自己开发者的商店，可以把这篇文章转给他们看。

检查受信任域名，能让顾客少碰到一个陌生的额外步骤。测试结账，能帮你发现 Checkout 按钮此刻是否正把人带到奇怪的页面；不过一次测试结果干净，并不能说明之前没有顾客遭到重定向。