NodeJS 确认 Facebook 凭据

Question

在这种情况下，我有一个应用程序：

1. 用户将在移动设备（本例中为 iOS）上使用 Facebook 单点登录 (SSO) 登录。

2. 然后将返回的 Facebook 凭据发送到 NodeJS 服务器（使用相同的 Facebook 应用程序密钥），并且需要在将其与基于程序的帐户关联之前验证其确实是用户的 Facebook 凭据。

问题：

如果可以访问 Facebook 作为身份验证结果返回的所有内容，那么如何使用这些数据来确认 Facebook 的授权？

Answer 1

你可以做两件事：

• Facebook 通常会给你一个signed request，你可以用一个基本的 SHA2 哈希来检查它。如果哈希正确，您可以假设用户确实是使用 facebook 进行身份验证的。

• Facebook 通常还会向您传递一个（短暂的）access token，您可以将其传递给 exchange for a longer lived access token using the graph api。完成此交换后，您可以确定用户就是他所说的那个人。

Answer 2

https://graph.facebook.com/me?access_token=TOKENGOESHERE

如果返回用户，并且他们的 ID 是客户声称的，那么他们很可能就是他们所说的人。