Навыки shopify-development
📦
shopify-development
Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети🔑 Переменные окружения📁 Доступ к файловой системе
Создание приложений, расширений и тем Shopify
Разработка для Shopify охватывает приложения, расширения, API, темы и требования соответствия. Этот навык дает Claude, Codex и Claude Code сфокусированные паттерны для реальной работы с Shopify.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "shopify-development" from https://skillstore.io/skills/sickn33-shopify-development.md and its manifest at https://skillstore.io/api/skills/sickn33-shopify-development/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «shopify-development». Пользователь спрашивает, как добавить подарочное сообщение в checkout.
Ожидаемый результат:
Навык рекомендует checkout UI extension, определяет target, перечисляет необходимое состояние и описывает поведение обновления атрибутов.
Использование «shopify-development». Пользователь спрашивает, как синхронизировать продукты из Shopify.
Ожидаемый результат:
Навык описывает GraphQL-запросы продуктов, пагинацию, scopes, обработку rate limits и webhook-обновления для измененных продуктов.
Использование «shopify-development». Пользователь спрашивает, как настроить страницу продукта.
Ожидаемый результат:
Навык предлагает изменения Liquid section и snippet, аспекты формы продукта, обработку изображений и шаги предпросмотра темы.
Аудит безопасности
Высокий рискv5 • 07.07.2026 Открыть версионный отчет
Most static findings are documentation or test false positives from Markdown backticks, Liquid syntax, placeholder URLs, and dummy credentials. The real risks are in optional helper scripts that read local credentials, load parent .env files, write API keys into generated configuration, and send access tokens to a caller-controlled Shopify host.
9
Просканировано файлов
3,333
Проанализировано строк
28
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (15)
Высокий
Environment file access
Load environment variables from .env file.
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
filepath: Path to .env file
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
Get list of .env file paths in priority order.
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
List of .env file paths
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
# skill/.env
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
skill_env = skill_dir / '.env'
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
# skills/.env
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Показать все подтверждённые находки (15)
Высокий
Environment file access
skills_env = skill_dir.parent / '.env'
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
# agent_dir/.env (e.g., .agent, .claude, .gemini, .cursor)
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
agent_env = skill_dir.parent.parent / '.env'
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Environment file access
# Load from .env files (reverse priority order)
The initializer implements .env file discovery and parsing for Shopify credentials. This is intended configuration behavior, but it can read sensitive local files from parent directories.
Высокий
Unvalidated API Host Receives Access Token
ShopifyGraphQL accepts a shop_domain string, strips only the scheme, builds a URL from it, and later sends X-Shopify-Access-Token to that host. A hostile or mistyped domain could receive an Admin API token.
The code directly combines caller-controlled shop_domain with the token-bearing request header. The risk depends on caller input, but the unsafe trust boundary is clear.
Высокий
Parent Environment Files Can Populate Generated Config
The initializer searches .env files in the skill, parent skills directory, and parent agent directory, then can place the configured Shopify API key into generated shopify.app.toml content. This can propagate secrets outside their original storage location.
The file discovery, credential loading, and generated config write are all present in the script. The exposure requires running the helper, so confidence is high but not absolute.
Пункты проверки возможностей (28)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Generic API/secret keys
if 'SHOPIFY_API_KEY' in env_vars:
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
config.shopify_api_key = env_vars['SHOPIFY_API_KEY']
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
if 'SHOPIFY_API_SECRET' in env_vars:
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
config.shopify_api_secret = env_vars['SHOPIFY_API_SECRET']
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
if 'SHOPIFY_API_KEY' in os.environ:
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
config.shopify_api_key = os.environ['SHOPIFY_API_KEY']
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
if 'SHOPIFY_API_SECRET' in os.environ:
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
config.shopify_api_secret = os.environ['SHOPIFY_API_SECRET']
The script copies Shopify API key or secret values from .env files or process environment into runtime configuration. This is legitimate setup behavior but handles sensitive credentials.
Высокий
Generic API/secret keys
client_id = "{self.config.shopify_api_key or 'YOUR_API_KEY'}"
The script writes the configured Shopify API key into generated shopify.app.toml content. That can leak a real credential if the generated project is shared or committed.
Средний
Python HTTP libraries
from urllib.request import Request, urlopen
The helper builds an HTTPS Shopify GraphQL endpoint and uses urllib to send requests. This is intended functionality, but it is outbound network behavior with credentials.
Средний
Hardcoded URL
self.base_url = f"https://{self.shop_domain}/admin/api/{API_VERSION}/graphql.json"
The helper builds an HTTPS Shopify GraphQL endpoint and uses urllib to send requests. This is intended functionality, but it is outbound network behavior with credentials.
Средний
Python environment access
shop = os.environ.get('SHOP_DOMAIN', 'your-store.myshopify.com')
The example main function reads SHOP_DOMAIN and SHOPIFY_ACCESS_TOKEN from process environment. Those values can include an Admin API token used for network requests.
Средний
Python environment access
token = os.environ.get('SHOPIFY_ACCESS_TOKEN', '')
The example main function reads SHOP_DOMAIN and SHOPIFY_ACCESS_TOKEN from process environment. Those values can include an Admin API token used for network requests.
Средний
Hidden file access
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The initializer searches hidden .env files in the skill, parent skills, and agent directories. Reading parent hidden configuration can expose credentials beyond the new project scope.
Средний
Hidden file access
# skill/.env
The initializer searches hidden .env files in the skill, parent skills, and agent directories. Reading parent hidden configuration can expose credentials beyond the new project scope.
Средний
Hidden file access
# skills/.env
The initializer searches hidden .env files in the skill, parent skills, and agent directories. Reading parent hidden configuration can expose credentials beyond the new project scope.
Средний
Hidden file access
# agent_dir/.env (e.g., .agent, .claude, .gemini, .cursor)
The initializer searches hidden .env files in the skill, parent skills, and agent directories. Reading parent hidden configuration can expose credentials beyond the new project scope.
Средний
Hidden file access
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The initializer searches hidden .env files in the skill, parent skills, and agent directories. Reading parent hidden configuration can expose credentials beyond the new project scope.
Низкий
Environment variable object
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The line documents the script priority for process environment and .env files, which is implemented in the same file. It is a low-confidence but real indicator of local credential access.
Низкий
Environment variable object
Priority: process.env > skill/.env > skills/.env > agent_dir/.env
The line documents the script priority for process environment and .env files, which is implemented in the same file. It is a low-confidence but real indicator of local credential access.
Низкий
Python environment access
if 'SHOPIFY_API_KEY' in os.environ:
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
config.shopify_api_key = os.environ['SHOPIFY_API_KEY']
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
if 'SHOPIFY_API_SECRET' in os.environ:
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
config.shopify_api_secret = os.environ['SHOPIFY_API_SECRET']
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
if 'SHOP_DOMAIN' in os.environ:
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
config.shop_domain = os.environ['SHOP_DOMAIN']
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
if 'SCOPES' in os.environ:
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Низкий
Python environment access
config.scopes = os.environ['SCOPES']
The script reads SHOPIFY_API_KEY, SHOPIFY_API_SECRET, SHOP_DOMAIN, and SCOPES from process environment. This is intended, but it directly handles credential-bearing environment variables.
Факторы риска
⚙️ Внешние команды (56)
references/app-development.md:36-38 references/app-development.md:44-57 references/app-development.md:89-93 references/app-development.md:102-116 references/app-development.md:116-121 references/app-development.md:527-529 references/extensions.md:510-518 scripts/shopify_init.py:196 scripts/shopify_init.py:296-302 scripts/shopify_init.py:302-306 scripts/shopify_init.py:306-309 scripts/tests/test_shopify_init.py:173 scripts/tests/test_shopify_init.py:178 SKILL.md:26 SKILL.md:29 SKILL.md:32 SKILL.md:43-45 SKILL.md:45-49 SKILL.md:49-53 SKILL.md:53-57 SKILL.md:57-63 SKILL.md:63-67 SKILL.md:67-72 SKILL.md:72-78 SKILL.md:78-80 SKILL.md:80-83 SKILL.md:83-87 SKILL.md:87 SKILL.md:88 SKILL.md:89 SKILL.md:90 SKILL.md:91 SKILL.md:99-125 SKILL.md:125-129 SKILL.md:129-148 SKILL.md:148-152 SKILL.md:152-167 SKILL.md:167-171 SKILL.md:171-183 SKILL.md:183-189 SKILL.md:189-233 SKILL.md:233-239 SKILL.md:239-257 SKILL.md:257-263 SKILL.md:263-265 SKILL.md:265-282 SKILL.md:282-292 SKILL.md:292-308 SKILL.md:308-318 SKILL.md:318-327 SKILL.md:327-346 SKILL.md:346-347 SKILL.md:347-348 SKILL.md:348-354 SKILL.md:354 SKILL.md:355
🌐 Доступ к сети (28)
references/app-development.md:44 references/app-development.md:85 references/app-development.md:101 references/app-development.md:12 references/app-development.md:36 references/app-development.md:44 references/app-development.md:102 references/app-development.md:372 references/app-development.md:411 references/extensions.md:191 references/extensions.md:508 references/extensions.md:508 references/themes.md:426 references/themes.md:438 references/themes.md:443 references/themes.md:326 scripts/shopify_graphql.py:135 scripts/shopify_graphql.py:182 scripts/shopify_graphql.py:234 scripts/shopify_graphql.py:20 scripts/shopify_graphql.py:70 scripts/shopify_init.py:218 scripts/shopify_init.py:313 scripts/shopify_init.py:314 SKILL.md:361 SKILL.md:362 SKILL.md:363 SKILL.md:364
🔑 Переменные окружения (56)
references/app-development.md:48 references/app-development.md:49 references/app-development.md:295 references/app-development.md:48 references/app-development.md:49 references/app-development.md:295 references/app-development.md:13 references/app-development.md:48 references/app-development.md:49 references/app-development.md:295 scripts/shopify_graphql.py:404 scripts/shopify_graphql.py:405 scripts/shopify_init.py:68 scripts/shopify_init.py:101 scripts/shopify_init.py:124 scripts/shopify_init.py:125 scripts/shopify_init.py:126 scripts/shopify_init.py:127 scripts/shopify_init.py:128 scripts/shopify_init.py:129 scripts/shopify_init.py:130 scripts/shopify_init.py:131 scripts/shopify_init.py:21 scripts/shopify_init.py:22 scripts/shopify_init.py:114 scripts/shopify_init.py:115 scripts/shopify_init.py:116 scripts/shopify_init.py:117 scripts/shopify_init.py:124 scripts/shopify_init.py:125 scripts/shopify_init.py:126 scripts/shopify_init.py:127 scripts/shopify_init.py:217 scripts/tests/test_shopify_init.py:106 scripts/tests/test_shopify_init.py:27 scripts/tests/test_shopify_init.py:28 scripts/tests/test_shopify_init.py:36 scripts/tests/test_shopify_init.py:37 scripts/tests/test_shopify_init.py:45 scripts/tests/test_shopify_init.py:46 scripts/tests/test_shopify_init.py:51 scripts/tests/test_shopify_init.py:52 scripts/tests/test_shopify_init.py:103 scripts/tests/test_shopify_init.py:104 scripts/tests/test_shopify_init.py:106 scripts/tests/test_shopify_init.py:110 scripts/tests/test_shopify_init.py:118 scripts/tests/test_shopify_init.py:119 scripts/tests/test_shopify_init.py:131 scripts/tests/test_shopify_init.py:132 scripts/tests/test_shopify_init.py:362 scripts/tests/test_shopify_init.py:363 scripts/tests/test_shopify_init.py:370 scripts/tests/test_shopify_init.py:371 scripts/tests/test_shopify_init.py:376 scripts/tests/test_shopify_init.py:377
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/sickn33-shopify-development/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/sickn33-shopify-development?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/sickn33-shopify-development?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-shopify-development/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/sickn33-shopify-development.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
sickn33. (2026). shopify-development security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-shopify-development/audits/5Цитата BibTeX
@techreport{sickn33-sickn33-shopify-development-2026,
author = {sickn33},
title = {shopify-development security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-shopify-development/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "shopify-development security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-shopify-development/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-shopify-development:audit:5"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Средний 82
Архитектура
85
Сопровождаемость
87
Контент
70
Сообщество
83
Соответствие спецификации
Что вы можете построить
Планирование встроенного приложения Shopify
Используйте рекомендации по OAuth, scopes, GraphQL, webhook, биллингу и структуре проекта, чтобы спроектировать реализацию приложения.
Создание функций темы витрины
Используйте Liquid, sections, snippets, формы продуктов и паттерны корзины, чтобы настраивать поведение витрины.
Создание Commerce UI Extensions
Используйте примеры checkout, admin, POS, customer account и Function для планирования целевых сценариев для продавцов.
Попробуйте эти промпты
Выбор типа разработки Shopify
Мне нужно создать функцию Shopify для [goal]. Определи, должно ли это быть приложение, расширение, изменение темы или комбинированный подход.
Проектирование интеграции приложения
Спланируй приложение Shopify, которое использует [data or workflow]. Включи scopes, OAuth flow, webhooks, операции GraphQL и шаги развертывания.
Реализация опыта расширения
Спроектируй расширение Shopify [checkout, admin, POS, or customer account] для [merchant task]. Включи target, потребности в данных, UI flow и API calls.
Проверка production-сборки Shopify
Проверь мой план реализации Shopify с точки зрения безопасности, лимитов API, webhooks, биллинга, влияния на тему и готовности к app review.
Лучшие практики
- Запрашивайте минимальные Shopify access scopes, необходимые для поддержки функции.
- Проверяйте webhook HMAC signatures и значения OAuth state перед обработкой запросов.
- Проверяйте версии Shopify API и стоимость GraphQL-запросов перед production-развертыванием.
Избегать
- Не прописывайте merchant credentials, access tokens или secrets напрямую в файлах приложения или темы.
- Не реализуйте изменения checkout как код темы, если Shopify требует расширение.
- Не обрабатывайте крупные магазины без пагинации, повторных попыток и обработки rate limits.
Часто задаваемые вопросы
Какую работу с Shopify поддерживает этот навык?
Он поддерживает приложения, UI extensions, темы, работу с GraphQL Admin API, webhooks, биллинг, metafields и Shopify Functions.
Включает ли он исполняемый код?
Да. Он включает вспомогательные Python-скрипты для инициализации проекта и GraphQL-вызовов, а также тесты для инициализатора.
Может ли он помочь с рабочими процессами Shopify CLI?
Да. Он перечисляет распространенные команды Shopify CLI для приложений, расширений, тем, предпросмотров и развертываний.
Проверяет ли он учетные данные Shopify?
Нет. Пользователи должны предоставить действительные учетные данные и безопасно обрабатывать хранение учетных данных в собственной среде.
Готов ли справочный код к production?
Нет. Это отправная точка, и ей нужны специфичные для проекта валидация, проверки безопасности, логирование и тесты.
Какие AI-инструменты поддерживаются?
В отчете указана поддержка Claude, Codex и Claude Code.
Сведения для разработчиков
Автор
sickn33Лицензия
MIT
Ревизия Skillstore
r1
Примечание о версии
Автор не указал версию.
Репозиторий
https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/shopify-developmentСсылка
9f814fc6a43fd99946f2da5e0df231c65a38bc76
Актуальность поддержки
18.07.2026
Использование
14 загрузок · 192 просмотров
Структура файлов