如何为移动应用程序实现安全的Facebook登录/注册/连接Web服务？

Question

我有一个用于移动应用程序的Web REST API，它支持使用用户/密码和令牌身份验证的经典注册/登录。

由于注册没有电子邮件确认，我如何实现安全注册/登录/连接Facebook服务？

我的第一种方法：我从移动应用程序facebook_id ， facebook_email ， facebook_name ：

• 通过Facebook搜索用户，如果存在完美返回该用户，否则用这些参数创建新用户

• 问题：我认为任何其他应用程序都可以轻松找到facebook_id ..所以没有什么能阻止我假设我是其他人并使用他的facebook_id登录

• 可能的解决方案：也从移动应用程序获取access_token ，并在服务器端检查access_token是否与收到的facebook_email相关的正确

另一个问题可能是：

• A人正在使用personB@fake.com电子邮件创建一个经典帐户
• 一个星期后，B人连接它的Facebook帐户（使用相同的personB@fake.com电子邮件）。 第一个想法是将clasic帐户与此facebook帐户相关联。 但是，B人将接管A人的账户。

可选：对于移动应用程序上的令牌过期，最佳做法是什么？ 我已经阅读了大约2个小时的内容，但是在我认为半年后仍然会记录facebook应用程序。

为了确保安全性，让我们假设我可以从我的Web服务中的客户端获得任何重要的东西（access_token，email，...）：在这种情况下，哪种最佳实践可以确保最佳安全性：甚至是client-side规则：应该在那里是登录和SignUp 2个不同的服务？ 无论如何，快速的guildeline /逐步流程将是完美的。

Answer 1

你检查过Facebook Developer Login文档了吗？ 它们涵盖登录流程并生成用户和应用程序令牌 （通过调用FB SDK for JavaScript（ FB.GetAuthResponse ）），在这种情况下， AuthResponse包含一个userID参数 ，您可以将应用程序的ID映射到）。 令牌到期也由FB SDK处理。 Android登录流程看起来相当简单，iOS登录流程看起来更简单。