Come verificare il token di accesso di Facebook?

C'è solo una cosa che il server deve fare; basta controllare la validità di qualsiasi token di accesso.

I client inviano al server l'ID utente e il token di accesso ottenuto da FB.getLoginStatus. Come mi aspettavo, ci sarebbe stato qualsiasi URL che controlla la validità del token di accesso, come http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Ciò restituisce se è disponibile o meno o esiste un'API (lato server) per questo?

Il metodo ufficialmente supportato per questo è:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Per ulteriori informazioni, vedere la documentazione del token di controllo .

Una risposta di esempio è:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Puoi semplicemente richiedere https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx se ricevi un errore, il token non è valido. Se ottieni un oggetto JSON con una proprietà id, allora è valido.

Sfortunatamente questo ti dirà solo se il tuo token è valido, non se proviene dalla tua app.

Volevo solo farti sapere che fino ad oggi stavo prima ottenendo un token di accesso all'app (tramite richiesta GET a Facebook), e quindi utilizzando il token ricevuto come app-token-or-admin-tokenin:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

Tuttavia, ho appena realizzato un modo migliore per farlo (con l'ulteriore vantaggio di richiedere una richiesta GET in meno):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Come descritto nella documentazione di Facebook per i token di accesso qui .

Richiedi semplicemente (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

Questo è tutto.

Il token dell'app può essere trovato da questo URL.

https://developers.facebook.com/tools/accesstoken

Exchange Access Tokenper Mobile Number and Country Code(lato server O lato client)

Puoi ottenere il mobile numbercon il tuo access_tokencon questo API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Forse, una volta che hai il mobile numbere id, puoi lavorare con esso per verificare l'utente con il tuo server & database.

xxxxxxxxxx sopra è il Access Token

Risposta di esempio:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Scambia Auth Codeper Access Token(lato server)

Se invece ne hai uno Auth Code, puoi prima ottenerlo Access Tokencon questo API: https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyye zzzzzzzzzzsopra sono rispettivamente Auth Code, App IDe App Secret.

Risposta di esempio

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Nota - Questo è preferito sul server-sidedato che la APIrichiede il APP Secretche non è destinata ad essere sharedper security reasons.

In bocca al lupo.