如何在不泄露应用机密的情况下从客户端访问 Facebook 公共数据

Question

我正在尝试构建一个 JavaScript Metro 应用程序，该应用程序通过其 Graph API 提取 Facebook 公共数据（例如来自 Home Depot 的帖子）。似乎总是需要访问令牌才能与 Graph API 交互。

为了获取访问令牌，需要将 App ID 和 Secrets 发送到 Facebook OAuth 端点。这对服务器端代码有意义，但对客户端没有意义，因为应用程序机密不能随客户端代码一起提供，客户端代码很容易被解包/反编译/拦截。

所以我的问题是：

1. 有没有办法在不使用访问令牌的情况下访问 Graph API（公共数据）？
2. 有没有办法在不发送 App Secret 的情况下获取访问令牌？
3. offline_access 令牌是否有替代品？

请记住：

1. 我只需要访问 PUBLIC 数据。
2. 无需用户登录。

谢谢！

Answer 1

1. 否

2. 一种选择是让用户登录并以这种方式为他们获取访问令牌。另一种方法是让您自己的服务器提供令牌创建服务，因此密码不需要在应用程序二进制文件中。

3. 您可以将代币兑换成寿命更长的 60 天代币https://developers.facebook.com/docs/facebook-login/access-tokens/#extending