Підтвердження доступу до маркера Facebook на стороні сервера для додатка iPhone

Я розробляю додаток iPhone, яке базується на спілкуванні з сервером, і я хочу використовувати механізми аутентифікації Facebook.

В основному, я думаю, що це має працювати так:

1. У своєму додатку iPhone користувач входить у Facebook, використовуючи свою електронну пошту та пароль.
2. Користувач дозволяє отримати доступ до своїх даних для відповідного додатку Facebook.
3. Мій додаток iPhone отримує маркер доступу після успішного входу.
4. Для подальшого спілкування з моїм сервером мій додаток iPhone повинен використовувати отриманий маркер доступу Facebook (наприклад: у запитах).
5. Коли мій сервер отримує запит від додатка iPhone, з маркером доступу, він повинен запитати у Facebook, що цей маркер дійсний (і для кого), і якщо так, сервер повинен вважати, що користувач має автентифікацію у Facebook.

Моє запитання: як сервер повинен запитати Facebook, якщо даний маркер доступу є дійсним? Я думаю, я повинен якось перевірити, чи маркер дійсний для моєї програми Facebook.

Я спробував багато запитів у Facebook, щоб побудувати графік API, який я знайшов, але нічого не вийшло, як я очікував. Ви можете надати мені якийсь приклад?

Ось двоетапний процес, за допомогою якого можна перевірити, що маркер доступу користувача належить вашій програмі:

1) Створіть маркер доступу до додатка

( https://developers.facebook.com/docs/howtos/login/login-as-app/ )

https://graph.facebook.com/oauth/access_token?
client_id=YOUR_APP_ID
&client_secret=YOUR_APP_SECRET
&grant_type=client_credentials

2) Налагоджуйте маркер доступу користувача

( https://developers.facebook.com/docs/howtos/login/debugging-access-tokens/ )

https://graph.facebook.com/debug_token?
input_token=INPUT_TOKEN
&access_token=ACCESS_TOKEN

Де INPUT_TOKEN - це маркер доступу користувача, який ви хочете підтвердити, а ACCESS_TOKEN - маркер вашого додатка, який ви отримали з кроку 1.

Кінцева точка налагодження в основному скидає всю інформацію про маркер, тому він відповість приблизно так:

{
    data: {
        app_id: YOUR_APP_ID,
        is_valid: true,
        metadata: {
            sso: "iphone-safari"
        },
        application: YOUR_APP_NAMESPACE,
        user_id: USER_ID,
        issued_at: 1366236791,
        expires_at: 1371420791,
        scopes: [ ]
    }
}

Якщо цей маркер не з "вашого додатка", він поверне відповідь про помилку.

Оновлення: ця відповідь виглядає невпевнено, оскільки вона не підтверджує маркер спочатку як належний до вашої програми, дивіться коментарі, оригінальну відповідь наступним чином:

Я припускаю, що у вас уже є маркер доступу. У такому випадку найпростіший спосіб перевірити маркер доступу - надіслати наступний запит

https://graph.facebook.com/me?fields=id&access_token=@accesstoken

Тут замініть @accesstoken на ваш маркер доступу. Я буду розбивати URL і поясню кожен.

Ми видаємо тут запит графіку api, який повертає ідентифікатор користувача Facebook власника маркера доступу у вигляді рядка JSON. Ключове слово "я" відображає користувача, який зараз увійшов або власника маркера доступу. Для цього запиту маркер доступу є обов'язковим параметром.

Якщо наданий маркер доступу недійсний або термін дії якого закінчився, Facebook просто поверне повідомлення про помилку.

Для дійсного маркера доступу результат буде якось виглядати таким чином

{
   "id": "ID_VALUE"
}

Іншим рішенням буде використання, https://graph.facebook.com/app/?access_token=[user_access_token]як описано в розділі Отримати ідентифікатор програми з маркера доступу користувача (або перевірити вихідний додаток на маркер) .

Це здається недокументованою функцією, але повертає JSON, що містить ідентифікатор програми, для якого був створений маркер. Якщо маркер не був для вашої програми, він повертає 400.

В останній версії facebook (2.2) ви можете це зробити так:

https://developers.facebook.com/docs/graph-api/reference/v2.2/debug_token

Вибірка зразка:

{
    "data": {
        "app_id": "THE APP ID", 
        "application": "APP NAME", 
        "expires_at": 1427245200, 
        "is_valid": true, 
        "scopes": [
        "public_profile", 
        "basic_info", 
        "read_stream", 
        "email", 
        "publish_actions", 
        "read_friendlists", 
        "user_birthday", 
        "user_hometown", 
        "user_location", 
        "user_likes", 
        "user_photos", 
        "user_videos", 
        "user_friends", 
        "user_posts"
        ], 
        "user_id": "THE USER ID"
    }
}

private function facebookRequestMe($access_token)
{
    include_once "facebook.php";

    $facebook = new Facebook(array(
        "appId" => "your_application_id",
        "secret" => "your_application_secret"
    ));
    $facebook->setAccessToken($access_token);
    return $facebook->api("/me", "GET");
}

Ви можете завантажити SDK Facebook для PHP від GitHub .

Якщо користувач передав вам UID Facebook, який він стверджує, є їхнім, і ви хочете перевірити, чи це він законний, це функція Python, яка перевірить його відповідно до свого маркера доступу (реалізація відповіді Робіна Джоме):

def verify_facebook_id(id, access_token):
    import requests
    import simplejson
    params = {'fields': 'id', 'access_token': access_token}
    text = requests.get("https://graph.facebook.com/me", params=params).text
    json = simplejson.loads(text)
    response_id = json["id"]
    return response_id == id

Це єдиний безпечний спосіб підтвердити маркер користувача, використовуючи лише один запит:

https://graph.facebook.com/debug_token?input_token={token-to-inspect}&access_token={app_id}|{app_secret}

Зауважте, що знак "|" у наведеній вище URL-адресі використовується не як АБО, а як роздільник, і він повинен бути там після заповнення інших полів.

Відповідь буде JSON виглядає так:

{
    data: {
        app_id: {app_id},
        application: {app_name},
        expires_at: {some_number},
        is_valid: {true|false}
        scopes: {array_of_permissions},
        user_id: {user_id}
    }
}

Довідка: https://developers.facebook.com/docs/facebook-login/access-tokens/#apptokens (вищевказаний метод згадується внизу цього розділу)

Поряд із маркером доступу Facebook також надсилає параметр "expires_in", який є значенням зміщення. Використовуйте це для обчислення часу, коли маркер доступу закінчиться як NSDate. Потім, коли вам потрібно зробити запит, порівняйте поточну дату з датою закінчення терміну дії.

Також спробуйте перевірити коди статусу та рядки відповідей, які Facebook надсилає назад.