Comment vérifier le jeton d'accès Facebook?

Il n'y a qu'une chose que le serveur doit faire; vérifiez simplement la validité de tout jeton d'accès.

Les clients envoient au serveur l'ID utilisateur et le jeton d'accès obtenus par FB.getLoginStatus. Comme je m'y attendais, il y aurait n'importe quelle URL qui vérifie la validité du jeton d'accès, comme http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Cela renvoie s'il est disponible ou non ou y a-t-il une API (côté serveur) pour cela?

La méthode officiellement prise en charge pour cela est:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Consultez la documentation relative aux jetons de contrôle pour plus d'informations.

Un exemple de réponse est:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Vous pouvez simplement demander https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx si vous obtenez une erreur, le jeton n'est pas valide. Si vous obtenez un objet JSON avec une propriété id, il est valide.

Malheureusement, cela ne vous dira que si votre jeton est valide, pas s'il provient de votre application.

Je voulais juste vous faire savoir que jusqu'à aujourd'hui, j'obtenais d'abord un jeton d'accès à l'application (via une requête GET à Facebook), puis j'utilisais le jeton reçu comme app-token-or-admin-tokendans:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

Cependant, je viens de réaliser une meilleure façon de faire cela (avec l'avantage supplémentaire d'exiger une requête GET de moins):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Comme décrit dans la documentation de Facebook pour les jetons d'accès ici .

Demandez simplement (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

C'est tout.

Le jeton d'application peut être trouvé à partir de cette URL.

https://developers.facebook.com/tools/accesstoken

Exchange Access Tokenpour Mobile Number and Country Code(côté serveur OU côté client)

Vous pouvez obtenir le mobile numberavec votre access_tokenavec ce API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Peut-être, une fois que vous avez le mobile numberet le id, vous pouvez travailler avec lui pour vérifier l'utilisateur avec votre server & database.

xxxxxxxxxx ci-dessus est le Access Token

Exemple de réponse:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Échange Auth Codepour Access Token(côté serveur)

Si vous en avez un à la Auth Codeplace, vous pouvez d'abord obtenir le Access Tokenavec ceci API- https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyyet zzzzzzzzzzau-dessus sont les Auth Code, App IDet App Secretrespectivement.

Exemple de réponse

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Remarque - Ceci est préférable sur le server-sidecar le APIrequiert le APP Secretqui n'est pas censé être sharedpour security reasons.

Bonne chance.