facebook - CSRF 状态 token 与提供的 FB PHP SDK 3.1.1 Oauth 2.0 不匹配

Question

我的服务器日志显示“CSRF 状态 token 与提供的不匹配”错误，这似乎几乎每个用户都会发生。但是，用户已创建和/或经过身份验证，我能够检索用户信息。我正在使用带有 Apache 的 Linux 服务器。我也在使用最新的 Facebook PHP SDK v.3.1.1 谁能告诉我为什么会这样以及如何解决它？

Answer 1

上周我遇到了类似的问题，并追踪到 state 字段被多次调用 getLoginUrl() 覆盖。每次调用 getLoginUrl() 时，都会在 SDK 中生成一个新的 state token 并存储在 $_SESSION 中(它只是一个随机值)，因此如果您调用它两次并且用户使用第一个链接登录，则第二次调用将重置 SDK 的内部 state token ，您将在日志中收到此错误。

SDK 在 Facebook 授权用户并将用户重定向回您的网站后返回的 URL 中查找相同的 state 标记，如果不匹配，它将记录此错误(这里是source 的链接)。