客户营销 URL 字段现在需要写入权限

立即生效：以下与客户相关的字段现在需要write_customers作用域和create_and_edit_customers权限：

• Customer.emailOpenTrackingUrl (deprecated)
• Customer.unsubscribeUrl (deprecated)
• CustomerEmailAddress.openTrackingUrl
• CustomerEmailAddress.marketingUnsubscribeUrl
• CustomerPhoneNumber.marketingUnsubscribeUrl

变更原因

此次更新旨在解决一项安全漏洞。这些字段会返回带有秘密令牌的 URL，攻击者可以利用这些令牌修改客户的营销同意设置，例如退订客户。此前，仅拥有read_customers作用域的应用即可访问这些 URL，这可能导致客户偏好设置被未经授权地更改。通过提高访问要求，我们旨在防范此类安全风险。

根据我们的API 破坏性变更政策，安全修复会在所有 API 版本中立即实施，从而绕过标准的弃用流程。

所需操作

如果您的应用查询这些字段，则必须：

1. 请更新您的应用以包含write_customers访问作用域。此前，read_customers作用域已足够。
2. 确保发起请求的用户拥有create_and_edit_customers权限。

仅拥有read_customers作用域的应用在尝试查询这些字段时，现在将会遇到访问被拒绝的错误。