VTEX IO 后端请求该用哪个身份令牌：按请求来源选择…

当 VTEX IO 后端应用需要决定用哪个身份（应用、门店用户、Admin 用户）去调用 VTEX 接口时，按请求来源选择正确的 auth token 并避免硬编码凭证。

适用场景

解决思路

1. 先判断请求来源：门店浏览/购物者触发的流程用 STORE_TOKEN 配 ctx.storeUserAuthToken；Admin 界面触发的流程用 ADMIN_TOKEN 配 ctx.adminUserAuthToken；与应用级、无当前用户绑定的后台任务用 AUTH_TOKEN 配 ctx.authToken。
2. 只要存在用户令牌就优先使用用户令牌，避免在用户驱动的操作中使用应用令牌认证。
3. 当对应的用户令牌不存在时，仅在该操作确实是应用级、且不依赖当前购物者或 Admin 身份时，才回退到 AUTH_TOKEN。
4. 使用支持 authMethod 的 VTEX IO 客户端时，若默认应用身份不符合请求，显式传入令牌选择，例如 authMethod: 'ADMIN_TOKEN' 或 authMethod: 'STORE_TOKEN'。
5. 封装自定义 VTEX 客户端时，在客户端边界从 IOContext 注入匹配的令牌（如 VtexIdclientAutCookie: ctx.storeUserAuthToken），而不是在 handler 中硬编码凭证。
6. 保持令牌选择与用户旅程一致：门店流程不得静默升级为应用级权限，Admin 流程不得绕过当前 Admin 角色上下文。
7. ADMIN_TOKEN 与 ctx.adminUserAuthToken 必须仅限服务端使用，绝不能暴露或代理给浏览器客户端。
8. 把令牌选择与策略设计分开处理：本技能决定由哪个身份发起调用，权限策略由 auth-and-policies 决定该身份能做什么。
9. 除非有文档化的例外，不要在 VTEX IO 应用内使用 appKey 和 appToken。
10. 绝不记录原始令牌或在响应中返回令牌；令牌是请求机密，下游调用方只应收到业务数据。
11. 将令牌决策集中在请求边界或客户端层，让下游 handler 和服务依赖已正确配置的客户端，而不是在多处临时选择令牌。
12. 在自定义 JanusClient 中正确注入令牌，例如门店场景用 VtexIdclientAutCookie: ctx.storeUserAuthToken，Admin 场景用 ctx.adminUserAuthToken，应用级场景用 ctx.authToken。
13. 用 authMethod 显式调用客户端，例如 await ctx.clients.orders.listOrders({ authMethod: 'ADMIN_TOKEN' })。
14. 用 fetch 直接调用时不要使用 X-VTEX-API-AppKey / X-VTEX-API-AppToken 或环境变量中的永久 VTEX 凭证，改用 ctx.clients 配合 authMethod 或注入的令牌。

适用边界 · 注意事项

• 不要用于决定 manifest.json 中应包含哪些策略。
• 不要用于建模路由级授权或基于资源的策略。
• 不要用于在 ExternalClient、JanusClient 等客户端抽象之间做选择，也不用于浏览器端登录/会话 UX 流程或路由输入校验。