Korrekte Weise, Facebook-Token von Client zu Server zu senden

Question

Ich bin mir nicht sicher, wie man den fb-Token eines Benutzers von seinem Client an meinen Server sendet. Mein aktueller Ansatz ist folgender:

1. Benutzer öffnet die Webseite und meldet sich beim FB an;
2. Token wird von FB erhalten;
3. Redirect Benutzer Client/api /: token
4. Verwenden express + Knoten + app.get("/api/:token") das Token auf dem Server

jedoch zu erhalten, bedeutet dies nicht sicher aussehen, da, wenn ich der Benutzer seine umleiten Das Token ist im Browser deutlich sichtbar, und jeder könnte versuchen, ein Token zu erraten, um sich als ein anderer Benutzer auszugeben.

Frage: Wie kann ich den fb-Token eines Benutzers sicher vom Client an meinen Server senden? Soll ich einen Ajax Post benutzen?

Vielen Dank für Ihre Hilfe! : D

Answer 1

nicht darum zu kümmern, können Sie API Graph Anfragen mit appsecret_proof sichern:

curl \ 
    -F 'access_token=<access_token>' \ 
    -F 'appsecret_proof=<app secret proof>' \ 
    -F 'batch=[{"method":"GET", "relative_url":"me"},{"method":"GET", "relative_url":"me/friends?limit=50"}]' \ 
    https://graph.facebook.com 

Answer 2

Das gleiche Problem gibt es, wenn Sie Ihr Passwort und Ihren Benutzernamen vom Client an den Server senden. Optionen, die Sie haben, ist zu

1. HTTPS verwenden
2. Enctrypt Daten auf Client-Seite und entschlüsseln, bei Server