# 安全性与商家风险

> Shoplazza 应用审核会检查的安全要求，包括不得收集商家账号凭据，以及防范商家风险的规定。

安全性是任何基于 Web 的业务的关键组成部分，因为在线应用可能以多种方式遭受攻击或泄露。在提交前确保您的应用是安全的，以保护商家免受潜在风险。本页列出审核时检查的要求；具体做法见[安全最佳实践](/docs/app/best-practices/security)。

# 安全性

1. 您的应用不得收集 Shoplazza 用户凭据。如 [Shoplazza API 鉴权](/api/oauth-access-scopes)中所述，公有应用必须使用 [OAuth](/api/oauth-access-scopes)。

2. 如果您的应用存储自己的凭据，则必须仅存储加盐的密码哈希值，而不是实际密码。做法参考：[安全地生成与校验令牌](/docs/app/best-practices/security#安全地生成与校验令牌)。

3. 您的应用必须防范常见 Web 安全漏洞。做法参考：[防范常见 Web 漏洞](/docs/app/best-practices/security#防范常见-web-漏洞)。

4. 应用必须通过使用有效 TLS 证书的 HTTPS 提供服务。做法参考：[用 TLS 加密传输](/docs/app/best-practices/security#用-tls-加密传输)。

5. 您的应用不得不必要地暴露网络服务。做法参考：[不暴露多余的网络服务](/docs/app/best-practices/security#不暴露多余的网络服务)。

6. 您的应用不得暴露其共享密钥。做法参考：[校验 Webhook 签名](/docs/app/best-practices/security#校验-webhook-签名)。

7. 您的应用必须生成安全 token，包括过期时间和搜索索引保护（如适用）。做法参考：[安全地生成与校验令牌](/docs/app/best-practices/security#安全地生成与校验令牌)。

8. 您的应用不得在 Shoplazza 结账流程外处理支付或订单。

9. 您的应用不得修改 Shoplazza 的结账流程。