facebook - 如何通过 Facebook 的 Javascript SDK 安全地授权用户

Question

我想让用户使用他们的 Facebook ID 登录我的网站，而无需重新加载页面。这就是我使用 Facebook Javascript SDK 的原因.该方案描述了使用该 SDK 的授权流程:

在流程结束时，我知道用户已登录并且我知道他们的 Facebook ID。然后我可以通过这个 ID 在我的数据库中注册他们，然后让他们使用它来登录。

但是，这似乎非常不安全。为了让我的服务器端脚本知道用户的 ID，我必须通过 AJAX 发送它。但是，我无法知道是否是 ID 的所有者正在尝试登录。任何人都可以发送带有 ID 的 POST 请求(尤其是获得另一个用户 ID 的人)。

我目前的想法是让用户像往常一样通过 JS SDK 登录，通过 AJAX 将 ID 和访问 token 发送到服务器，然后在 PHP 脚本中使用 cURL 来确保用户实际登录。

这是要走的路，还是我忽略了更好的选择？

Answer 1

1. 您不需要通过 ajax 推送用户 ID。您应该在服务器端使用保存 signed_request 的 fbsr_{app_id} cookie。使用 FB 发布的“ secret ”app_secret 解析此 signed_request 以获取“user_id”。注意:解析成功也说明FB提供的cookie数据没有被篡改。

2. 解析 signed_request 后，您还应该获得“issued_at”时间。检查此时间是否在最后 10 分钟内。通过这样做，您知道当用户(带有 user_id)使用客户端 SDK 时，登录请求到达了您的服务器。 (引用:http://developers.facebook.com/roadmap/completed-changes/)

3. 您应该立即将此代码换成 access_token。如果失败(FB 会给你一条 OAuthException 类型的错误消息)，这意味着在用户登录 Facebook 和你收到登录请求之间存在不自然的延迟。

通过第 2 步，您可以阻止使用旧 fbsr_ cookie 的攻击尝试。如果用户(来自 user_id)已经拥有您的帐户，那么您可能希望在此处停止并登录该用户。但是，在某些情况下，您的 app_secret 可能会被泄露。要处理这种情况，您应该按照步骤 #3 进行操作，因为access_token 的代码交换只能发生一次并且在问题发生后的 10 分钟内。如果用户在您的网站上没有帐户，那么您无论如何都需要第 3 步来使用 access_token 从 FB 检索其他必要的用户数据，如姓名、电子邮件等。

因此，只有在这 10 分钟的安全间隙内，其他人才有可能窃取受害者的 cookie 并尝试进行攻击。如果您对这个安全漏洞不满意，您应该迁移到服务器端身份验证。该决定取决于您存储的用户信息的敏感性。并且您不会在迁移到服务器端身份验证时做出任何妥协，您可以同时继续使用客户端方法来处理其他事情。