验证 Facebook 令牌

Question

FB新手，请原谅这个愚蠢的问题。

我的网络应用程序使用 FB 和 Google 身份验证。我只需要身份验证，别无其他。使用angularx-social-login，我可以使用 FB 凭据登录，通过重定向 URL 获得响应：

authToken: 'ABC...'
email: ...
firstName: ...
...

太好了，现在我应该将此 authToken 提交到我自己的 API 服务器以建立会话。那么我的 API 怎么知道这个令牌是真实的呢？我找到了FB's manually build a login flow, Confirming Identity，还有code、response_type和access_token。我迷路了。如何获得？

只是一个例子，我的应用程序也使用 Google 身份验证，有一个端点只接受 authToken 或类似的客户端库

const {OAuth2Client} = require('google-auth-library');
const googlelib = new OAuth2Client(googleClientID); 
await googlelib.verifyIdToken(
    {idToken: toBeChecked_ShouldBeAuthToken, audience: myGoogleClientID}, 
    (bad, good) => ...

Answer 1

在尝试使用外部访问令牌时，这是一个众所周知的问题。我的blog post 解释了首选的 OAuth 选项，其中授权服务器管理您的应用程序的大部分复杂性。

考虑使用免费或低成本的开源或云系统，例如 Keycloak。 OAuth 有两大方面：

• 保护您的数据
• 多种登录方式

第一点，即使您知道如何在 API 中验证 Facebook 令牌，它们也不会包含您的 API 需要授权的声明。