javascript - 将 facebook App ID 嵌入到 UI javascript 代码中是否安全？

Question

Facebook's documentation说我们可以通过运行以下代码在我们的应用程序中初始化 FB。代码来自文档，但这也期望 'appId' 作为参数传递。

问题:将 'appId' 嵌入到单页应用程序的客户端 Javascript 代码中是否真的安全，还是应该以某种方式在服务器端处理？

FB.init({
    appId      : '{your-app-id}',
    status     : true,
    xfbml      : true,
    version    : 'v2.4' // or v2.0, v2.1, v2.2, v2.3
  });

更新:正如@KK 指出的那样，文档中写着app-secret。所以我猜在浏览器中使用 app-id 是安全的，但我应该保证 app-secret 安全。当我查看我的 facebook 仪表板时，我可以看到我有两个不同的 ID，用于 app-id 和 app-secret。

即使我将 app-id 保留在服务器上并通过服务器重定向用户，app-id 仍然对用户可见，因为 documentation here表示重定向 url 是一个 GET 请求，因此所有参数无论如何都是可见的。

Answer 1

App ID 发布是绝对安全的(无论如何它在登录过程中都是可见的)，另一方面，App Secret 被称为“Secret”是有原因的。有了 App ID 和 App Secret，你就已经有了一个 App Access Token (App-ID|App-Secret)。使用应用程序访问 token ，您将能够更改某些应用程序设置:https://developers.facebook.com/docs/graph-api/reference/application#Updating

为了提高安全性，您应该在应用程序设置中激活“需要应用程序 secret ”并使用appsecret_proof 进行服务器调用:

• 设置:https://developers.facebook.com/apps/[app-id]/settings/advanced/
• 保护 API 调用:https://developers.facebook.com/docs/graph-api/securing-requests
• 一般信息:https://developers.facebook.com/docs/facebook-login/security