Совместное использование токенов доступа Facebook через приложения

Question

Я хочу предоставить услугу, используя facebook api для третьих лиц. Возможно ли, чтобы мы делили токены доступа? Если сторонняя сторона предоставляет мою службу токен доступа пользователя, могу ли я получить доступ к этим данным пользователей, даже если мой app_id & секрет не соответствует приложению, которое его запросило?

Должен ли пользователь пройти отдельный поток oauth на моем сайте, даже если он уже завершил его для другого третьего лица?

Спасибо.

Кен

Answer 1

Относительно:

Можно ли нам разделить маркеры доступа?

и

я могу получить доступ к данным пользователей, что даже если мой app_id & секрет не совпадают приложение, передавшего его?

Ответ No. Из спецификации OAuth2 section 10.3:

маркер доступа учетных данных (а также любые конфиденциальные атрибуты токенов доступа) должны храниться в тайне в транспортировке и хранении, а только совместно с сервером авторизации, серверы ресурсов маркер доступа действительный для клиента, которому выдан токен доступа.

---

Если у меня есть пользователи пройти через отдельный поток OAuth на моем сайте, даже если они уже закончили его на другой третьей стороне?

Ответ Yes. Если вы используете facebook в качестве сервера авторизации и перезапустите поток oauth снова, ваш пользователь должен будет только одобрить ваше другое приложение (третье лицо).

Answer 2

Каждый маркер доступа выдается только для одного приложения - это не может быть использована с различными идентификаторами приложений.

Answer 3

Даже этот токен доступа пользователя выдается только для одного приложения, его можно легко использовать из любого другого приложения.

Пример:

1. Получить маркер доступа для приложения "Graph API Explorer" здесь https://developers.facebook.com/tools/explorer/?method=GET&path=me и сделать запрос - вы будете видеть ваши данные.
2. Скопируйте токен доступа и откройте другую машину | браузер и перейдите на страницу https://graph.facebook.com/me?access_token=[access_token] - вы по-прежнему сможете получать информацию о своем пользователе в Facebook!

Здесь https://developers.facebook.com/docs/concepts/login/access-tokens-and-types/ он отметил, что

Политика Наши данные явно запретить любое совместное маркер доступа для вашего приложения с любым другим приложением. Однако мы разрешаем разработчикам делиться токенами между собственной реализацией и реализацией сервера того же приложения (т. Е. С использованием того же идентификатора приложения), если передача выполняется с использованием HTTPS.