Signature validation should support validating with an old secret

Problem

Oauth2 signature validation will fail when during credential rotation, since the signature is generated with the oldest secret, and validation can only be configured to validate against a single secret in shopify_python_api.

Solution

This needs to be handled similar to webhook validation, where it must be possible to specify the old API secret as well as the new one for signature validation, and accept the signature if it matches the ones generated with either secret.

Issue にはファイルやテストが記載されていません。まず、既存の OAuth2 署名検証のエントリーポイントを見つけ、その設定と動作を、リンク先の credential-rotation ドキュメントに記載された webhook 検証と比較してください。検証が現在の API secret または古い API secret のいずれかで生成された署名を受け入れ、現在の単一 secret の動作を維持できれば完了です。