ios - "Login with Facebook"+ 自定义 API - 适用于 iOS 应用

Question

假设我有一个 iOS 应用程序，它依赖于自定义 REST API 来进行帐户管理(注册、登录、密码重置、获取/设置用户相关数据)等操作。

假设我想添加一个“使用 Facebook 登录/注册”按钮，这样我们的用户就不必填写无聊的注册表。

我的数据库仍将包含这些用户，但他们将没有用户名/密码哈希/电子邮件，他们只会与应用内 Facebook 登录后由 Facebook iOS SDK 返回的“Facebook 用户 ID”相关联。

所以我的 API 会有这样的调用:

http://www.myapi.com/create_user_with_facebook?facebook_user_id=XXXXX

(好吧，不完全是，它不会是 GET 等，但你明白我的意思)

这里让我担心的是，任何人都可以调用该 API 并使用任何公开可用的 Facebook 用户 ID 创建此类帐户，即使这些用户 ID 不属于他们。 无数据会有危险或任何事情，但当该 Facebook 帐户的合法所有者尝试使用该应用程序时，该应用程序会说“不，抱歉，该 Facebook 帐户似乎已经与现有应用程序帐户相关联!”

我不知道如何保护我们的平台免受这种“攻击”。

(API 仍然允许以传统方式注册帐户或将现有帐户与 Facebook 帐户同步 - 这在当今许多应用程序中都很常见)

任何关于我应该采取哪个方向来解决这个问题的帮助将不胜感激!非常感谢。

Answer 1

如果可以访问您的 API，任何人都可以使用其他人的电子邮件地址做同样的事情(即，我可以使用其他人的电子邮件地址调用您的 API 并创建一个新帐户)。所以这不是“Facebook”问题。如果您不希望随机的人直接在您的应用程序外部访问它，解决方案是保护您的 API。