Facebook：如何从用户的访问令牌中获取应用程序 ID - 使用 /app?access_token=TOKEN？

Question

我们允许用户仅使用 facebook 访问令牌作为凭据来访问我们的后端（使用 REST api over https 和 json 回复），因此我们想做两件事：

1. 验证访问令牌并找到用户的 id - 这只是对https://graph.facebook.com/me?access_token=TOKEN的调用

2. 确保此访问令牌属于我们的 facebook 应用程序。 你可以打电话 https://graph.facebook.com/app?access_token=TOKEN，但这似乎是一个未记录的功能（而且有时相当慢）。

谁能告诉我这实际上是否是一种可能会保留在那里的标准方法？或者是否有另一种方法来做我们想做的事情：验证用户的访问令牌是否有效并且来自我们的 Facebook 应用程序。

你可以打电话给我/permissions 和 me?fields=installed，但这些似乎都不能告诉我我们正在检查哪个 facebook 应用程序。

Answer 1

您应该按照docs（客户端或服务器端）中的说明实施身份验证流程。基本上，您通过使用您的应用程序对用户进行身份验证来获得一个新的访问令牌，并将该令牌用于对您的服务器的请求。通过这种方式，您可以确定令牌“属于”您的应用程序。步骤：

1. 使用您的应用 ID 初始化您选择的 Facebook SDK。
2. 检查用户是否已授权您的应用。
3. 如果用户已经授权您的应用，您将获得他或她的 Facebook 用户 ID 以及令牌（“属于”您的应用），如果没有：验证用户并获得令牌。

docs 为您提供示例代码和大量详细信息：

• 对于客户端身份验证，尤其是Status & Sessions
• 有关服务器端身份验证，请查看4. Exchange the code for a User Access Token

更新：

您提到的功能已记录在 here（向下滚动到 2. 向 API 发出请求）：

应用访问令牌允许您作为应用发出请求，而不是 一个用户。要检索应用程序的详细信息，请执行 HTTP 获取：
https://graph.facebook.com/app?access_token=APP_ACCESS_TOKEN

因此该功能可能会保留。

Answer 2

这是旧的，但我最近也有同样的担忧。我认为最直接的方法是使用debug_token 检查访问令牌。

GET graph.facebook.com/debug_token?
 input_token={token-to-inspect}
 &access_token={app-token-or-admin-token}

参考：https://developers.facebook.com/docs/facebook-login/manually-build-a-login-flow#checktoken

Answer 3

您可以在每个请求中传递signed_request insted of access_token。 参数 signed_request 基于您的应用程序的密钥，您可以简单地验证它。阅读documentation 了解签名请求。