Medusa v2.21.0：Store API 启用严格字段白名单

Medusa v2.21.0 发布，重点是 Store API 的安全加固：每条 Store 路由现在都声明一份 allowed 列表，并按严格规则执行——请求字段或关系的完整路径必须原样出现在列表中才会被返回，不在列表中的字段会被从查询中剥离，响应仍返回 200，只是缺少该字段。

此变更被标注为破坏性变更。上一版本引入的 disallowed 列表已随本次调整移除，白名单成为这些路由唯一的字段边界。管理端路由与 /store 之外的自定义路由不受影响。

若店铺前端仍需要某个被移除的字段，可通过 allowFields 中间件补回，例如对 /store/products 开放 brand 与 brand.name。原文强调该中间件不能声明 method 或 methods 键，否则会作为路由级中间件在查询校验之后运行而失效。原文还建议对自定义 API 路由用 validateAndTransformQuery 设置 allowed 配置。

对于暂不能升级的旧版本，原文列出了 2.15.3–2.15.5、2.16.0、2.17.0–2.17.1、2.17.2、2.18.0–2.19.0、2.20.0、2.20.1 等版本区间的补丁，涉及 @medusajs/framework、@medusajs/medusa 及可选安装的 @medusajs/loyalty-plugin。发布说明注明了 2026-09-11 的发布时间。原文提供的内容有截断，升级指南后续步骤未完整呈现。