Jak zweryfikować token dostępu do Facebooka?

Jest tylko jedna rzecz, którą musi zrobić serwer; po prostu sprawdź ważność dowolnego tokena dostępu.

Klienci wysyłają do serwera identyfikator użytkownika i token dostępu uzyskany przez FB.getLoginStatus. Jak się spodziewałem, byłby dowolny adres URL, który sprawdza ważność tokena dostępu, np http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

To zwraca, czy jest dostępny, czy nie, czy też istnieje do tego jakiś interfejs API (po stronie serwera)?

Oficjalnie obsługiwana metoda to:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Więcej informacji można znaleźć w dokumentacji tokena czekowego .

Przykładowa odpowiedź to:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Możesz po prostu zażądać https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx, jeśli pojawi się błąd, token jest nieprawidłowy. Jeśli otrzymasz obiekt JSON z właściwością id, to jest on prawidłowy.

Niestety, to tylko powie Ci, czy Twój token jest ważny, a nie jeśli pochodzi z Twojej aplikacji.

Chciałem tylko poinformować, że do dziś najpierw uzyskiwałem token dostępu do aplikacji (poprzez żądanie GET do Facebooka), a następnie korzystałem z otrzymanego tokena jako app-token-or-admin-token:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

Jednak właśnie zdałem sobie sprawę z lepszego sposobu na zrobienie tego (z dodatkową korzyścią polegającą na wymaganiu o jedno żądanie GET mniej):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Jak opisano w dokumentacji Facebooka dotyczącej tokenów dostępu tutaj .

Po prostu zażądaj (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

Otóż ​​to.

Token aplikacji można znaleźć pod tym adresem URL.

https://developers.facebook.com/tools/accesstoken

Exchange Access Tokendla Mobile Number and Country Code(po stronie serwera LUB po stronie klienta)

Możesz pobrać go mobile numberze swoim za access_tokenpomocą tego API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Być może, gdy już będziesz mieć mobile numberi id, będziesz mógł z nim pracować, aby zweryfikować użytkownika z rozszerzeniem server & database.

xxxxxxxxxx powyżej jest Access Token

Przykładowa odpowiedź:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Exchange Auth Codedla Access Token(po stronie serwera)

Jeśli masz Auth Codezamiast tego, możesz najpierw pobrać za Access Tokenpomocą tego API- https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyyI zzzzzzzzzzpowyżej są Auth Code, App IDi App Secretodpowiednio.

Przykładowa odpowiedź

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Uwaga - Jest to korzystne na server-sideponieważ APIwymaga APP Secretktóry nie ma być sharedza security reasons.

Powodzenia.