จะตรวจสอบโทเค็นการเข้าถึง Facebook ได้อย่างไร?

มีเพียงสิ่งเดียวที่เซิร์ฟเวอร์ต้องทำ เพียงตรวจสอบความถูกต้องของโทเค็นการเข้าถึงใด ๆ

FB.getLoginStatusลูกค้าส่งไปยังรหัสผู้ใช้และการเข้าถึงเซิร์ฟเวอร์โทเค็นที่ได้รับจาก ขณะที่ผมคาดว่าจะมี URL ใด ๆ http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxxที่ตรวจสอบการเข้าถึงความถูกต้องของโทเค็นเช่น

ที่ส่งคืนว่าใช้ได้หรือไม่หรือมี API (ฝั่งเซิร์ฟเวอร์) สำหรับสิ่งนั้นหรือไม่

วิธีที่รองรับอย่างเป็นทางการสำหรับสิ่งนี้คือ:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

ดูเอกสารตรวจสอบโทเค็นสำหรับข้อมูลเพิ่มเติม

ตัวอย่างคำตอบคือ:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

คุณสามารถขอhttps://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxxหากคุณได้รับข้อผิดพลาดโทเค็นไม่ถูกต้อง หากคุณได้รับออบเจ็กต์ JSON ที่มีคุณสมบัติ id แสดงว่าถูกต้อง

น่าเสียดายที่สิ่งนี้จะบอกคุณได้ก็ต่อเมื่อโทเค็นของคุณถูกต้องไม่ใช่ว่ามาจากแอปของคุณ

แค่อยากจะแจ้งให้คุณทราบว่าจนถึงวันนี้ฉันได้รับโทเค็นการเข้าถึงแอพเป็นครั้งแรก (ผ่านการร้องขอ GET ไปที่ Facebook) จากนั้นใช้โทเค็นที่ได้รับapp-token-or-admin-tokenใน:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

อย่างไรก็ตามฉันเพิ่งตระหนักถึงวิธีที่ดีกว่าในการดำเนินการนี้ (พร้อมประโยชน์เพิ่มเติมจากการขอ GET น้อยกว่าหนึ่งคำขอ):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

ตามที่อธิบายไว้ในเอกสารของ Facebook สำหรับการเข้าถึงโทเคนนี่

เพียงแค่ขอ (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

แค่นั้นแหละ.

โทเค็นของแอปสามารถพบได้จาก url นี้

https://developers.facebook.com/tools/accesstoken

แลกเปลี่ยนAccess TokenสำหรับMobile Number and Country Code(ฝั่งเซิร์ฟเวอร์หรือฝั่งไคลเอ็นต์)

คุณจะได้รับmobile numberด้วยaccess_tokenกับเรื่องนี้https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxxAPI บางทีเมื่อคุณมีmobile numberและidคุณสามารถดำเนินการกับมันเพื่อยืนยันผู้ใช้ด้วยserver & databaseไฟล์.

xxxxxxxxxx ด้านบนคือไฟล์ Access Token

ตัวอย่างการตอบสนอง:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

แลกเปลี่ยนAuth CodeสำหรับAccess Token(ฝั่งเซิร์ฟเวอร์)

หากคุณมีAuth Codeแทนคุณสามารถรับสิ่งAccess Tokenนี้ได้ก่อนAPI- https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyyและzzzzzzzzzzข้างต้นเป็นAuth Code, App IDและApp Secretตามลำดับ

ตัวอย่างการตอบสนอง

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

หมายเหตุ - นี้เป็นที่ต้องการในserver-sideตั้งแต่APIต้องAPP Secretซึ่งไม่ได้หมายความว่าจะเป็นสำหรับsharedsecurity reasons

โชคดี.