Làm thế nào để xác minh mã thông báo truy cập Facebook?

Chỉ có một điều mà máy chủ phải làm; chỉ cần kiểm tra tính hợp lệ của bất kỳ mã thông báo truy cập nào.

Khách hàng gửi đến id người dùng máy chủ và mã thông báo truy cập thu được bởi FB.getLoginStatus. Như tôi mong đợi, sẽ có bất kỳ URL nào kiểm tra tính hợp lệ của mã thông báo truy cập, chẳng hạn như http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Điều đó trả về liệu nó có sẵn một hay không hoặc có API nào (phía máy chủ) cho điều đó không?

Phương pháp được hỗ trợ chính thức cho việc này là:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Xem tài liệu mã thông báo kiểm tra để biết thêm thông tin.

Một phản hồi ví dụ là:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Bạn chỉ cần yêu cầu https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx nếu gặp lỗi, mã thông báo không hợp lệ. Nếu bạn nhận được một đối tượng JSON có thuộc tính id thì nó hợp lệ.

Rất tiếc, điều này sẽ chỉ cho bạn biết liệu mã thông báo của bạn có hợp lệ hay không, chứ không phải nếu nó đến từ ứng dụng của bạn.

Tôi chỉ muốn cho bạn biết rằng cho đến hôm nay, lần đầu tiên tôi nhận được mã thông báo truy cập ứng dụng (thông qua yêu cầu GET cho Facebook), và sau đó sử dụng mã thông báo nhận được như app-token-or-admin-tokentrong:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

Tuy nhiên, tôi vừa nhận ra một cách tốt hơn để làm điều này (với lợi ích bổ sung là yêu cầu một yêu cầu GET ít hơn):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Như được mô tả trong tài liệu của Facebook về Mã thông báo truy cập tại đây .

Chỉ cần yêu cầu (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

Đó là nó.

Mã thông báo ứng dụng có thể được tìm thấy từ url này.

https://developers.facebook.com/tools/accesstoken

Trao đổi Access Tokencho Mobile Number and Country Code(Phía máy chủ HOẶC Phía máy khách)

Bạn có thể lấy mobile numberbằng của mình access_tokenvới API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Có thể, khi bạn có mobile numbervà id, bạn có thể làm việc với nó để xác minh người dùng với của bạn server & database.

xxxxxxxxxx ở trên là Access Token

Phản hồi ví dụ:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Trao đổi Auth Codecho Access Token(Phía máy chủ)

Nếu Auth Codethay vào đó, bạn có thể lấy phần mềm Access Tokennày API- https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyyVà zzzzzzzzzzở trên là Auth Code, App IDvà App Secrettương ứng.

Phản hồi mẫu

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Lưu ý - Điều này được ưu tiên hơn server-sidevì APIyêu cầu APP Secretkhông có nghĩa là sharedcho security reasons.

Chúc may mắn.