使用 facebook 访问令牌的服务器端识别

Question

我目前正在为与 facebook 集成的移动应用程序用 python 开发服务器。移动应用程序向我发送用户的 Facebook 访问令牌。仅检查此令牌是否属于我的 Facebook 应用程序（来自令牌的应用程序 ID 与我的应用程序 ID 匹配）是否足够安全，或者我应该实施一些更高级的授权/安全形式？

这是我的第一个 facebook 集成应用，很抱歉这个基本问题。

Answer 1

您可以在应用设置中启用应用秘密证明，并将appsecret_proof参数添加到服务器上的每个调用：https://developers.facebook.com/docs/graph-api/securing-requests

之后，每个调用都必须添加该参数，并且由于它是使用 App Secret 生成的（仅在服务器上使用），它应该是非常安全的。