如何验证两个在facebook上是朋友的用户

Question

我正在开发一个基于 facebook 的移动应用程序。该应用程序通过 facebook 登录创建本地用户。申请步骤如下。

1. 用脸书登录
2. 后端服务创建本地用户
3. 通过 Facebook SDK 查找使用该应用的朋友
4. 投票给你的朋友

注意事项：

1. 我不想在我的数据库系统上保留用户朋友
2. 我使用智威汤逊

问题：

我必须验证经过身份验证的用户和投票用户是 Facebook 上的朋友。用户必须由其朋友投票。

我找到了几个解决方案，但它们也存在漏洞。

例如；

我通过 facebook sdk 进行了身份验证并获取了我所有的朋友。请求是像这样投票给用户： /vote/user_id/vote_id 后端服务对jwt token 和id 为user_id 的投票用户进行检查验证，作为认证用户的vote_id。

table structure

from_user_id,vote_id,to_user_id 

所以问题是，当用户进行身份验证时，它可以投票来自应用程序之外的用户，获取 jwt 令牌，无论它是否是它的朋友。这对我们来说是一个非常大的问题。所以我想知道如何验证两个用户是朋友而不向 Facebook 发送请求。或者如何设计架构来避免这种情况。

Answer 1

这可以简单地通过发出请求来完成

/me/friends/{id_of_friend}

使用当前应用用户的访问令牌。如果他们是朋友，您将返回一个包含朋友 id 和姓名的 data 结构 - 如果他们不是朋友，data 将是一个空数组。

这当然要求两个用户都已向您的应用授予user_friends 权限。