Làm cách nào để xác thực với API của trang web của riêng tôi khi sử dụng Kết nối Facebook để đăng nhập/tạo tài khoản?

Question

Tiêu đề nói đến phần lớn câu hỏi, nhưng tôi đang gặp khó khăn khi đóng gói bộ não của mình xung quanh cách tôi có người dùng được xác thực trên Facebook có quyền truy cập vào API của trang web của riêng tôi.

Sau khi người dùng đã xác thực với FB, tôi có một chút thông tin về người dùng nhưng không có khóa API hoặc tên người dùng/mật khẩu để chuyển đến máy chủ API bảo mật của riêng tôi để xác thực.

Tôi đã tìm thấy một số câu hỏi liên quan, nhưng không có gì có vẻ như một câu trả lời lý tưởng:

• Facebook Connect to authenticate on a personal API
• Authorizing facebook connect users with other third parties

Bất kỳ trợ giúp sẽ được đánh giá cao!

Answer 1

Vì bạn đang xác thực người dùng của mình thông qua kết nối Facebook, bạn biết đủ về người dùng.

Bất kể authentication flow bạn đang sử dụng, bạn sẽ

BướC# 1: nhận được một access_token và một tham số expire. Rất có thể, bạn cũng đã yêu cầu user_id (nếu bạn đang sử dụng JS-SDK, nó sẽ xử lý hầu hết điều này).

BướC# 2: tóm lược những thông tin (access_token, expire & user_id) trong một chuỗi băm, ví dụ mimic định dạng Facebook signed_request.

BướC# 3: gửi chuỗi băm này trong các cuộc gọi API của riêng bạn:

https://mydomain.com/apis/getUserSecretData?fb_oauth=my_hashed_string&vars=my_other_vars 

BướC# 4: trong API end-quan điểm của bạn, giải mã/giải mã chuỗi băm bạn và xác minh expire thông số và nếu số access_token hết hạn, thì bạn cần phải yêu cầu một số mới và lặp lại cuộc gọi API của mình.