如何從客戶端訪問Facebook公共數據而不損害應用程序機密

Question

我正在嘗試構建一個JavaScript Metro應用程序，該應用程序通過其Graph API提取Facebook公共數據（例如，來自Home Depot的帖子）。 似乎始終需要訪問令牌才能與Graph API進行交互。

為了獲得訪問令牌，需要將App ID和Secrets都發送到Facebook OAuth端點。 這對於服務器端代碼有意義，但對於客戶端端則沒有意義，因為應用程序密碼無法與可以輕松拆包/反匯編/攔截的客戶端代碼一起提供。

所以我的問題是：

1. 有沒有不用訪問令牌就可以訪問Graph API（公共數據）的方法？
2. 有沒有一種方法可以獲取訪問令牌而無需通過App Secret發送？
3. 可以對offline_access令牌進行替換嗎？

請記住：

1. 我只需要訪問PUBLIC數據。
2. 無需用戶登錄。

謝謝！

Answer 1

1. 沒有

2. 一種選擇是讓用戶登錄並以這種方式獲取他們的訪問令牌。 另一個辦法是讓您自己的服務器提供令牌創建服務，因此秘密不必在應用程序二進制文件中。

3. 您可以將令牌交換為壽命更長的60天令牌https://developers.facebook.com/docs/facebook-login/access-tokens/#extending