Facebook访问令牌过期安全性

Question

我想将Faccbook登录信息集成到我的应用程序中，但是我首先尝试了解Facebook关于访问令牌到期的安全性概念。

1）据我了解，访问令牌的目的是提供“无状态性”。 Facebook声明访问令牌的有效期为一两个小时。 如果某人很早就窃取了访问令牌，他们将能够使用此访问令牌以受害者身份拨打电话几个小时吗？

2）作为第一个问题的扩展，Facebook还提供了有效期为2个月的长期访问令牌。 如果该令牌被盗，那么攻击者是否可以冒充受害者两个月呢？

3）如果访问令牌被盗，如果它是无状态的，您将如何使该访问令牌无效/终止（从技术上讲，这是如何完成的）？

Answer 1

1）是的，如果有人窃取了令牌，他将能够使用该令牌进行呼叫。 但是，您可以使用appsecret_proof保护它们的安全-在大多数情况下，使用一种正式的SDK时，您根本不必担心访问令牌。

2）是的。

3）还有其他与该问题相关的答案主题，例如： 使Facebook访问令牌无效？