单击链接时缓慢加载 Facebook 画布应用程序（如果目标顶部）

Question

情况：我正在开发一个 facebook 画布应用程序。每次呈现页面时，Facebook 都会向我的服务器发送带有 signed_request 的 POST 请求。在我的应用程序中，我的所有链接都带有 target="_top"，因为如果我不这样做，facebook 会向我的服务器发送一个没有签名请求的通用 GET。所以无法查看用户信息。

问题：太慢了！即使我在本地测试它，我按下的每次点击都需要 1 秒来渲染，我的画布会变成完全白色，然后显示信息，这将是一个糟糕的用户体验。

我的测试：如果我删除 target=_top 并将所有链接的 href 指向我的服务器而不使用 app.facebook.com/whatever，它会非常快速地加载。

我的疑问：这有什么安全问题吗？如果我将所有链接都指向我的服务器（没有apps.facebook.com），我无法检查签名的请求，我只会在主页中检查它..

有什么建议吗？任何教程？我对这个有什么误解吗？ （这是我的第一个 Facebook 应用）

Answer 1

您阅读过Server-Side Authentication 教程吗？ 你做错了。

一旦用户登陆您的应用程序，您应该将所有链接保持在同一框架中，与 facebook 一起加载整个窗口是完全多余的。

你应该做什么：

当您获得带有签名请求的 POST 时，对其进行解码并检查用户是否已通过身份验证，他是否将数据（令牌等）保存在某处（会话、数据库、缓存）。 如果他未通过身份验证，请按照教程中的说明将他发送到身份验证对话框，当他回来时，将您获得的代码（在 GET 中）交换为令牌（也在教程中显示），然后将他重定向到 http(s)： //apps.facebook.com/YOUR_APP，您将收到经过身份验证的签名请求，保存等。

由于您持久化了数据，因此在每个不是 POST 或不包含 signed_request 的请求中，请检查您对数据的持久性选择，然后使用它。

facebook 应该只有两次向您发送请求，一次是在您的画布加载时为 POST，第二次是当用户从身份验证对话框返回时，您可以在其中获得 代码 em> 参数或错误，以防用户拒绝身份验证。 其他请求应该从您的应用（在 iframe 内）进入应用服务器。

Answer 2

JDL，

我相信您在每次请求时都在查询图形 API（这就是为什么您总是需要 signed_request）。是这样吗？

图形 API 非常慢（约 1 秒/查询），您应该仅在必要时使用。例如，当您第一次收到 access_token 时，您应该将其保存在会话中并查询图形 API 以检索相应的 facebook 用户信息。但是你应该把你需要的关于这个用户的信息放在你的会话中，并且只有当 signed_request 访问令牌与你在会话中保存的不同时才刷新它（使用图形 API）。

将 _top 添加到链接目标的行为是可以的，并且在 facebook 画布中是一种很好的做法。