ios - 在网站和移动应用程序之间共享 Facebook 访问 token

Question

我想要一个网站(带有 Devise 和 Omniauth 的 Rails 3.1)和一个移动应用程序 (iOS5) 共享身份验证。我的意思是，我希望用户能够通过 Facebook SSI 访问网站，或者通过 SSI 访问移动应用程序，并让移动应用程序使用用户的凭据与网站的 API 对话，以对网站进行身份验证。

我目前让 Web 端与能够 SSI 到帐户的用户一起很好地工作。我也有移动应用程序工作，支持用户 SSI。两者都使用相同的 Facebook 应用程序。

我的问题是找到两者之间共享的内容，我可以将其用于移动应用程序以针对站点进行身份验证。显然两者都可以访问相同的用户 ID，但这似乎不太安全。我的移动应用程序有一个访问 token ，但这与网站的访问 token 不同，尽管它们看起来很相似，而且我的移动访问 token 会过期，而我的 Web 访问 token 不会。

Web/Rails token (非真实):

DDDAKnu1dg40BDHEWN0VDssxs8GGF8ZBEEOb38HnS0IUEQC1NSufmPCcGeFkTuw39ZDl7OhlZBD2jwJEqXdAZCtZBflJRQKZB4ZA

移动/iOS token (非真实)

BDDAKnu1dg40BDEo3YjZD2hIwjfZB4slXJj3fmHfzLh5q1xZD0ShfJCb6PMjnApkpM0FTuGGvWnzZBQy4GZCMuysEEqhMz8YgruD53TXKTZC0GPFkfVe0b6fe8wieLLOZDDZA

使用 Facebook 的 access token debugger我得到以下信息( token 之间删除的所有内容都是相同的):

对于 Web/Rails token :

App ID: 
XXXXXXXXXXXXXXXX : SomeAppName
User ID:    
XXXXXXXX : My Name
Issued: 
1327507734 : 8:08 am Jan 25 2012
Expires:    
Never
Valid:  True
Origin: Web
Scopes: email offline_access

对于移动/iOS:

App ID: 
XXXXXXXXXXXXXXXX : SomeAppName
Metadata:   {"sso":"iphone-safari"}
User ID:    
XXXXXXXX : My Name
Issued: 
1327507734 : 8:08 am Jan 25 2012
Expires:    
Never
Valid:  True
Origin: Native Mobile
Scopes: email offline_access

Answer 1

仅作记录，我最终处理此问题的方法是将移动 token 传递给服务器并让服务器检查 token 的真实性。确认后，我可以使用 uid 和电子邮件检查我的记录的身份验证。