php - Facebook JS SDK 返回 XSS 错误和 "user_denied"响应，而不在 FB.Login 上显示身份验证弹出窗口

Question

我有一个 FB Canvas 应用程序，地址为 http://apps.facebook.com/insideny/

直到最近，我一直在使用 anchor 链接将用户发送到 OAUTH 登录流程。

自从我实现了 Facebook Javascript SDK 以来，我使用了以下逻辑:

1) 初始化FB API

    FB.init({
    appId: 'XXXXXXXXXXXXXX',
    xfbml: true, 
    cookie: true,  
    oauth : true, 
    channelUrl: 'http://www.niteflymobile.com/insideny/channel.html' },
    {scope: 'email'});

2) 检查登录状态

    FB.getLoginStatus(function(response)    { ... } )

3) 如果发现用户已登录(response.status ==“已连接”)，则设置适当的 cookie 并重定向到已登录页面。

4) 问题就在这里 如果response.status != "connected"(通常为新用户返回“not_authorized”)，则触发对 FB.login(function(response) 的调用{ ... })。

4a) FB.login 返回 2 个以下类型的错误:

“不安全的 JavaScript 尝试访问 URL static.ak.fbcdn.net/connect/xd_proxy.php?version=3&error_reason=user_denied&error=access_denied&error_description=The+user+denied+your+request.#cb=f22684144&origin=http 的框架%3a%2F%2Fwww.niteflymobile.com%2Ff185641ad8&relation=opener&transport=postmessage&frame=f39056acd8，来自 URL www.niteflymobile.com/insideny/# 的框架。域、协议(protocol)和端口必须匹配。"

(http://从两个链接中删除，以遵守新用户的 SO 规则)

此外，我写入控制台的返回对象包含一个 null authResponse，状态为“未知”，而不是刚才的“not_authorized”。

这里的核心问题是，授权弹出窗口被触发，但是是空白的，并且在没有任何用户交互的情况下快速关闭。

任何想法/帮助/见解都将非常感激，因为我已经很长时间地反对这个问题了，我怀疑这是一个愚蠢的错误，我只是看不到，因为我陷得太深了。

我刚刚删除了沙盒模式，这可能是一个原因吗？

下面的完整代码:

     $('.fb_link').click(function() {
            FB.init({appId: 'XXXXXXXXXX', xfbml: true, cookie: true,  oauth : true, channelUrl: 'http://www.niteflymobile.com/insideny/channel.html' },{scope: 'email'});
                //setup fb login check
                 FB.getLoginStatus(function(response)   {
                    if(response)    {
                        console.log(response);
                    if(response.status == "connected")  {

                            alert(response.status);
                            alert(response.authResponse.userID+"preajax");
                            //jquery cookie write
                            $.cookie('fbID', response.authResponse.userID, { expires: 29, path: '/' });
                            //secondary cookie write using only javascript
                            createCookie('fbID', response.authResponse.userID, 29);
                            //bandaid to fire ajax to set cookie on server side if the js side fails
                            var fbID_check = readCookie('fbID');
                            if(fbID_check)  {
                                alert("fbID cookie set "+fbID_check);
                                window.location = "http://apps.facebook.com/insideny/";
                            }
                            else    {
                                url_vars = "fbID="+response.authResponse.userID;
                                $.ajax({ 
                                    type: "POST",
                                    url: "set_fb_cookie.php",
                                    data: url_vars,  
                                    success: function(data){

                                        alert(data + "passed back from ajax");
                                        var fbID_check_2 = readCookie("fbID");
                                        alert(fbID_check_2 + "read from cookie");
                                        window.location = "http://apps.facebook.com/insideny/";
                                    }

                                });
                                return false;
                            }

                            alert(response.authResponse.userID+"postajax");

                        }

                        else    {

                            FB.login(function(response) {
                                alert('here');
                                console.log(response);

                            });
                        }
                    }

                })
             })

更新 8.12 @felipe-brahm

尝试了以下代码，效果相同(弹出但空白并关闭)

    $('.fb_link').click(function()  { 
    FB.init({appId: 'XXXXXXXXXXXXX', xfbml: true, cookie: true, oauth : true,          channelUrl: 'niteflymobile.com/insideny/channel.html'; },{scope: 'email'}); 
    FB.login(function(response) { 
    console.log(response); }) 
    })

Answer 1

“不安全的 JavaScript 尝试访问框架...”并不重要。我的应用程序在控制台上显示相同的错误，但仍然有效。

弹出窗口可能未打开，因为在大多数浏览器中，window.open 事件必须由用户启动的事件(即单击事件)触发。

解决方案:您应该要求用户单击调用登录功能的链接。