使用 Android 对我的服务器进行 Facebook 身份验证

Question

我正在构建一个具有以下块的应用程序：

Android - 客户端， Java Servlet - 服务器端， Facebook 应用程序 - 用于验证用户身份并处理他们的数据。

我的问题如下： 我想通过 facebook 验证我的用户（例如使用 facebook-android-sdk 从 android 客户端发送到 facebook 的请求），但随后我想将请求发送到我的服务器（由 servlet 实现）并以某种方式进行验证发送请求的用户已通过 Facebook 和我的应用程序的身份验证。

这些是步骤：

用户 X 使用 facebook-android-sdk 向 facebook 和我的 facebook 应用程序进行身份验证。 X 正在向我的服务器发送请求

至于服务器，我只想知道它是与我一起工作的正确用户，我不需要服务器执行任何图形 API 请求。

我如何知道 X 在我的服务器中有效？在这种情况下，身份验证是在客户端执行的。

Answer 1

所以你有：Facebook - Android 应用程序 - 你的网络服务器。并且您的网络服务器需要知道您是您所呈现的 Facebook 用户。问题是您不能信任 Android 客户端提供给您的任何数据。

我解决了这样的问题：

1. 从 Android 应用程序向 Facebook 验证用户身份，
2. 将 FB 身份验证令牌获取到 Android 应用程序，
3. 转发身份验证令牌并发送到 Facebook。 facebook UID 从 Android 到 Web 服务器，
4. 使用 Facebook Graph 调试端点验证令牌（使用 app_id 和 user_id），如此处所述（https://developers.facebook.com/docs/facebook-login/manually-build-a-login-flow#checktoken）以确保令牌用于正确的应用程序
5. 在网络服务器上，使使用提交的令牌调用 Facebook API。

如果来自您的 Web 服务器的调试端点 API 调用返回有效信息（应用程序 ID 和用户 ID），则您的服务器可以信任该 ID（并且您可以确定 Android 身份验证是真实的）

Answer 2

这个问题的更好答案（结合 tomas.tunkl 评论中的信息）如下：

1. 从 Android 应用程序进行身份验证
2. 从应用程序中的身份验证获取 FB Auth 令牌
3. 将令牌和 fb UID 转发到 Web 服务器
4. 调用调试端点，如下所述（ https://developers.facebook.com/docs/facebook-login/access-tokens/debugging-and-error-handling) - 这将为您提供应用程序的应用程序 ID生成了令牌。确保应用程序 ID 是您的应用程序 ID（意味着它是来自您的移动应用程序的令牌），否则有人会使用来自另一个应用程序的令牌劫持您的应用程序，并且您正在泄漏用户数据（正如 thomas tunkl 所指出的 url https://developers.facebook.com/docs/facebook-login/security/#tokenhijacking）。这很糟糕。另请检查 is_valid/expires_at 以确保它仍然是您应用程序中的有效令牌。

（由于我链接了文档，因此我还将在此处放置来自调试和错误处理链接的一些信息，以展示如何进行调用以及返回什么:)

使用访问令牌时，您可能需要检查与其关联的信息，例如其用户或过期时间。要获取此信息，您可以使用我们的调试工具，也可以使用 API 端点。

要使用 API，您可以发出 Graph API 请求：

获取 /debug_token？
input_token={输入令牌}&
access_token={访问令牌}

input_token：您想要获取相关信息的访问令牌

access_token：您的应用程序访问令牌或来自应用程序开发人员的有效用户访问令牌
API 调用的响应是一个包含字段映射的 JSON 数组。例如：

<代码>{
“数据”： {
“app_id”：000000000000000，
"application": "社交咖啡馆",
“过期时间”：1352419328，
“is_valid”：正确，
“发布于”：1347235328，
“范围”：[
“电子邮件”，
“发布动作”
],
“用户 ID”：1207059
}
}

请注意，对于短期访问令牌，不会返回 Issued_at 字段。

这将确保您拥有 Facebook 用户的有效令牌，该令牌是根据您自己的用户密钥生成的；这意味着他们已正确进行身份验证。