android - 将经过身份验证的 facebook 用户存储在数据库中

Question

我正在尝试找到正确的方法来存储在数据库中并对使用 facebook 登录我的应用程序的用户进行身份验证:

因此，当用户第一次登录应用程序时，网络服务会“看到”该用户不在数据库中并插入其数据。用户第二次登录时，应用程序联系网络服务并获取有关此用户的一些信息，只有用户自己可以使用，例如他用于与网络服务通信的 API key 。

但这需要身份验证，因此网络服务不会将 api key 提供给用户以外的任何人。在客户端使用 facebook 对客户端进行身份验证很容易，但是 web 服务如何知道进行了此身份验证？我在 SO 上阅读了很多关于此问题的文章，并意识到我应该将(散列的)OAuth 访问 token 存储为用户密码，然后在登录时将此 token 发送到 Web 服务，以便它可以在存储的 token 之间进行匹配数据库和接收到的 token ，从而对用户进行身份验证。

但是， token 会过期。因此，当此 token 过期时，用户应使用 facebook 在客户端重新进行身份验证，并且网络服务应收到新 token 。此时，Web 服务会尝试将这个新 token 与存储在数据库中的旧 token 进行匹配，但它会失败。所以 web 服务应该更新 token 然后对其进行身份验证，但是 web 服务如何知道这个 token 来自应用程序并且是有效的，而不是其他人发送的 token ？ Web 服务如何知道旧 token 已过期，而不是有人只是试图导致此 token 替换发生(例如，攻击者发送随 secret 码)。这种 token 替换基本上打破了存储 token 的全部要点，因为任何不同的 token 都会替换旧的。

所以基本上问题是 - 一旦前一个用户的 token 过期，我如何安全地更新现有用户的 token ？

对于阅读的长文本，我深表歉意，我已经研究了这个问题 2 天了，我只是遗漏了一些重要的东西。

Answer 1

如果用户已经授权了你的应用。 Facebook 将向您返回一个有效的访问 token ，而无需任何面向用户的对话。但是，如果用户已取消对您的应用程序的授权，则用户将需要重新授权您的应用程序才能让您获得 access_token。

你应该阅读这篇文章，希望能帮助你理解 :-)

https://developers.facebook.com/blog/post/2011/05/13/how-to--handle-expired-access-tokens/

它适用于 PHP，但应翻译成 android。

基本上，您只需使用存储的 oauth 数据请求一个新 token 。