Правильный способ отправки токена facebook от клиента к серверу

Question

Я не уверен, как отправить токен пользователя fb от его клиента на мой сервер. Мой текущий подход заключается в следующем:

1. Пользователь открывает веб-страницу и регистрируется в FB;
2. Токен получен от FB;
3. Перенаправление клиента пользователю/API /: лексемы
4. Используйте экспресс + узел + app.get("/api/:token") получить маркер на сервере

Однако, это не выглядит безопасным, так как, когда я перенаправлять пользователя его маркер хорошо виден в браузере, и каждый может попытаться угадать токен, чтобы олицетворять другого пользователя.

Вопрос: как я могу отправить токен пользователя fb от клиента на мой сервер? следует ли использовать пост ajax?

Благодарим за помощь! : D

Answer 1

Чтобы не беспокоиться об этом, вы можете обеспечить запросы API Graph с appsecret_proof:

curl \ 
    -F 'access_token=<access_token>' \ 
    -F 'appsecret_proof=<app secret proof>' \ 
    -F 'batch=[{"method":"GET", "relative_url":"me"},{"method":"GET", "relative_url":"me/friends?limit=50"}]' \ 
    https://graph.facebook.com 

Answer 2

Такая же проблема возникает, когда вы отправляете свой пароль и имя пользователя на сервер от клиента. Параметры у вас есть это

1. Использование HTTPS
2. Enctrypt данных на стороне клиента и дешифрования на сервере