如何通过PHP curl登录使用Facebook Connect的网站

Question

我需要在使用facebook connect登录的网站上使用php curl登录我的帐户。

我将以我最喜欢的应用程序之一为例： Mousehunt

如您所见，它（当然）使用facebook登录：如果您已经连接到facebook，它将成功自动登录，否则将弹出facebook登录。

我怎样才能用php curl登录呢？ 我知道一些关于curl和cookie（cookiejar，cookiefile，post等）的信息，但是了解得还不多。

发布数据的目标网址是哪个？ 用户登录后如何返回该站点？

Answer 1

让我解释一下这种FB登录的工作方式。 当然，还有其他方法可用于桌面应用程序，这将使之成为可能，但是此网站未使用它。

所以这笔交易：

登录按钮会在Facebook服务器上打开一个链接，其中包含网站的api密钥和一些任意信息。 到现在为止还挺好。 您可以轻松地进行模拟。

然后，在接受隐私内容后，您将被重定向回网站。 您也可以模拟它。

但是随之而来的是负担：

您重定向到的位置的井号（＃）后包含一个Facebook令牌。

然后，网站可以使用Javascript读取此令牌，并使用它来查询facebook api以确认您的身份。

这样做很简单：

想一想。 每个人都可以以网站的名义伪造请求并读取您的私人数据。 但是，将标签定向到请求之后，服务器将永远无法读取其后的所有内容。 Web浏览器只是不通过它，它将违反http标准并导致错误。

访问它的唯一方法是通过javascript。 而且只能通过提供请求的网站（facebook重定向到该网站）进行。 Facebook重定向到的域由应用程序密钥所有者锁定。

您会在此处看到javascript是安全性的重要组成部分。

我认为这确实是非常不安全的，因为存在许多可能的漏洞利用，但是它非常容易，这就是这种登录形式与openid相比传播如此之多的原因。

综上所述：您需要模拟一个完全启用JavaScript的浏览器。 这在某种程度上是可能的，但是非常复杂，并且没有开箱即用的解决方案。

Answer 2

好吧，也许有办法。 看起来Facebook请求不以任何方式签署许可范围。 因此，这基本上意味着您可以向应用程序/网站授予比他们甚至更高的权限。

那么您可以授予网站永久权限-以通常的方式登录-并保存cookie。

那么您可以将这些cookie和curl一起发送。 如果网站使用服务器端登录身份验证（很有可能），则您仍将登录，因为访问令牌是永久的。

但是并不能保证该hack保持正常运行。