私たちが開発しているアプリでは、アプリにアクセスした際にsigninチェックを行っています。
signinの整合性チェックには、shopify-tokenパッケージの shopifyToken.verifyHmac(query) を使用しています。
api/signin
if (!shopifyToken.verifyHmac(request.query)) {
response.status(400).send('Invalid hmac parameter');
return;
}
Shopifyストアの左のサイドバーからアプリに遷移した際は、整合性チェックに成功します。
しかし『Shopifyの注文管理画面 > 注文詳細画面 > サブスクリプションのリンクを押下』という動線でアプリに遷移した際は整合性チェックに失敗します。
確認したところ、失敗するケースではshopifyToken.verifyHmac() の引数として渡しているqueryが正しくAPIに渡されていませんでした。
signin APIに渡すqueryのパラメータは下記のように取得しています。
// サイドバーからアプリに遷移した場合のクエリパラメーター : /signin?embedded=1&hmac=xxxx&host=xxxx...
// 注文管理画面からアプリに遷移した場合のクエリパラメーター : /signin
await fetch(`${FIREBASE_FUNCTION_URL}/signin${window.location.search}`)
Shopifyの注文詳細画面からアプリに遷移する際、window.location.searchで正しくクエリパラメーターを取得できないのはShopifyとして正しい挙動なのでしょうか？
もしそれが正しい挙動の場合、注文管理ページからアプリを開く際にsigninAPI側ではどのような整合性チェックを行うのが適切でしょうか？