android - 如何使用 facebook-id 安全登录到我的 android 应用程序？

Question

我正在为我的 Android 应用程序使用 Facebook 身份验证。

我使用 facebook ID [通过 HTTP Post to Web API with facebook-id] 对我的应用程序中的用户进行身份验证。因此，如果有人知道我的应用程序中任何用户的 facebook-id，他们可以轻松发布到允许他们访问该应用程序的 URL。

有什么推荐的方法吗？

Answer 1

一旦您进行了登录 POST，facebook 会给您一个唯一的授权 token ，但它会在某个时候过期。基于此 token 生成一个临时“session_key”(可能是 md5(facebook_token + user_id)，将此 session_key 存储在您的数据库中并将其发送回您的应用程序。

对于从应用程序到您的服务器的每个请求，您必须发送此 session_key 和用户名。在服务器端，您必须检查 session_key 是否在您的数据库中以及它是否已分配给“user_id”。

如果一切正常，您可以继续操作，否则返回错误消息。

当用户登出时，删除这个session_key(当他用facebook登录时会重新生成)。

希望这会有所帮助。