Facebook токен доступа истекает срок действия безопасности

Question

Я хочу включить вход в Faccbook в свое приложение, но сначала я пытаюсь понять концепцию безопасности Facebook в отношении истечения срока действия токена доступа.

1) Насколько я понимаю, целью токенов доступа является предоставление «безгражданства». Facebook утверждает, что токен доступа действителен в течение часа или двух. Что делать, если кто-то крадет токен доступа очень рано, смогут ли они использовать этот токен доступа, чтобы совершать звонки в качестве жертвы в течение нескольких часов?

2) Расширение первого вопроса, Facebook также предлагает долгоживущие токены доступа, которые действительны в течение 2 месяцев. Если бы этот токен был украден, злоумышленник мог бы представлять жертву в течение 2 месяцев?

3) Что делать, если маркер доступа был украден, если он без гражданства, как бы вы аннулируете или завершаете этот токен доступа (технически, как это делается)?

Answer 1

1) Да, если кто-то украдет токен, он сможет звонить с ним. Но вы можете обеспечить их с помощью appsecret_proof - и вам не нужно беспокоиться о токенах доступа вообще при использовании одного из официальных SDK в большинстве случаев.

2) Да.

3) Это другие темы, касающиеся ответа на этот вопрос, например: Invalidating a facebook access token?