聚水潭安全加固店铺授权：密钥轮换缩至7天

2026年8月24日，聚水潭完成店铺授权体系的安全加固。新版本把长期密钥替换为短期令牌，自动轮换周期从90天缩短至7天，授权范围按接口细粒度收窄，任何越权调用会被网关即时拦截。系统同时上线授权全景视图，可按店铺查看授权应用、授权范围、最近调用与到期时间，并支持一键回收。

店铺授权是电商数据安全的入口。授权过大、密钥长期不换、离职人员账号未清理，都会让这个入口变成风险敞口。聚水潭安全负责人顾行舟说：“安全不是加一道墙，而是把每个门都做成能随时关上的门。商家必须清楚知道谁在用自己的数据、用到什么程度。”这次加固覆盖令牌、权限、审计三个层面。

短期令牌与7天轮换：把长期钥匙换成一次一证

过去店铺授权后发放长期密钥，一旦泄露影响面极大。新机制改为应用级身份加短期令牌，令牌有效期默认2小时，最长不超过24小时，到期自动失效并静默续期。底层密钥每7天自动轮换一次，轮换过程对业务透明，不会造成接口中断，旧密钥在轮换后进入24小时宽限期供灰度切换。

令牌与设备指纹绑定，同一令牌在不同IP或不同设备指纹上使用时会被拒绝并要求重新授权。灰度期间，系统共拦截异常令牌调用3182次，其中多数来自开发者本地调试时的配置错误，少数来自凭证外泄。系统会在拦截后自动向商家管理员发送提醒。

最小权限：按接口而不是按模块授权

新版本把授权粒度从模块级细化到接口级。商家可以授权某个应用只读取订单，不读取财务；也可以只允许查询库存，不允许修改。授权页面用勾选树展示，默认全部不勾选，应用首次调用未授权接口会收到明确的错误提示与申请指引。

对于服务商应用，平台要求其在应用市场页面公示所申请的权限与用途，商家在授权前可查看。灰度期间共有127个应用按新规范重新提交权限清单，平均申请权限数量从14项降到6项。顾行舟说：“权限多不一定好用，能少给一项就少给一项，这是对商家最起码的尊重。”

审计与一键回收：谁在什么时候动了数据

所有授权调用都会记录调用方、接口、时间、入参与结果，日志保留180天，支持按店铺、应用、时间段检索导出。对于敏感操作，例如批量导出订单、修改价格、删除商品，系统会额外记录操作前后的关键字段值，形成变更快照。

授权全景视图汇总了每个店铺的授权状态，即将到期的授权会提前7天提醒，长期无调用的授权会被标记为“僵尸授权”并建议回收。一键回收可在3秒内让令牌全部失效，回收后应用再次调用需要重新授权。灰度商户平均清理僵尸授权4.6个，最大的一家清理了23个。

授权模型的调整集中在三处。第一是密钥轮换周期从30天缩短到7天，系统在到期前48小时提醒商家重新授权，轮换期间新旧密钥并行6小时，避免在途请求失败。第二是授权范围拆到接口级，商家可以只授予“读订单”而不授予“读财务”，也可以限定某个应用只能操作指定店铺。第三是异常调用拦截，同一密钥在5分钟内从三个以上地区调用，或调用量超过历史均值的5倍，会被自动降级为只读并通知管理员。灰度期间共拦截异常调用3,120次。

审计视图把“谁、在什么时间、用什么应用、动了哪些数据”四个要素放在一张表里。商家可以按应用、按店铺、按时间筛选，导出为表格交给安全或合规团队。对于已离职员工绑定的第三方应用，管理员可一键回收全部授权，回收动作会在10秒内生效，且所有历史调用记录仍然保留可查。

商家侧的授权管理页面做了简化。所有已授权应用按店铺分组展示，每个应用后面标注授权范围、最近调用时间与密钥到期日，商家可以逐个撤销或延长。对于同一应用授权了多个店铺的情况，页面支持一键批量撤销，撤销后应用的所有令牌立即失效，历史数据不受影响。

授权安全加固已向全部商家生效，历史长期密钥统一转为短期令牌，商家无需操作。建议尽快在“设置—授权管理”中检查僵尸授权并回收。开放平台应用需按新规范补充权限说明后方可继续上架。最新客户端可在下载页获取。