javascript - 在没有用户身份验证的情况下实现 Facebook 的 Graph API

Question

我是 Facebook Graph API 和 Facebook JavaScript SDK 的新手，但我想了解一些事情:

• 有什么方法可以将我的访问 token 放入开源应用程序而不实际显示它吗？我正在使用 GitHub，出于安全考虑，我想将其设为私有(private)。
• 我可以在不要求用户验证自己的情况下显示我的用户信息吗？
• 在哪里 Facebook Developers App我可以允许更多的“范围”公开分享吗？例如，user_photos、user_posts、user_likes、user_status 等...

Facebook 默认允许的这些“范围”实际上是我在验证时从用户那里获得的信息，对吗？

为了澄清我正在尝试做的事情，我想通过 GitHub 上 gh-pages 分支中的 Facebook Graph API 分享关于我的 Facebook 帐户的事情，但我不喜欢必须对有权访问该页面的每个用户进行身份验证的想法。

我想公开我的用户信息，但不想显示我的访问 token ，因为它是开源的，最终可能会变得危险。

如果您想查看我的存储库并对项目有更好的了解。您可以访问 https://github.com/iszwnc/rye

Answer 1

如果我回顾一下:

• 您不想共享您的应用访问 token (很好!)，
• 您不希望您的用户进行身份验证。

基本上，您不能 Conceal 您的 token 并让您的用户直接查询 Facebook。您需要在一台机器上的一些服务器端代码，这将是唯一访问 Facebook 的机器。您的服务器将扮演 Facebook 和您的用户之间的接口(interface) Angular 色。所以你必须:

• 使用服务器端代码(即 Node.js)从服务器执行 API 调用，
• 将您需要的信息保存在数据库中。这是可选的，但最好避免多次检索相同的信息，从而避免您 future 的 100 个用户(自愿或非自愿)达到您的应用程序 API 限制。
• 让用户使用一些客户端代码(即 AngularJS)查询您的服务器，以检索您且只有您知道的内容(记住，您拥有 token )。

---

关于 Github，不要在上面分享你的代币。如果人们想要运行您的应用程序，他们可以生成自己的 token 。这里有几个建议:

• 将您的 token 添加到您可以在启动应用程序之前设置的环境变量(不要忘记在您的 README 中提及)，

• 将您的 token 添加到文件中:

  1. 创建一个包含空 token 的 credentials.js 文件:

     // Please use your own token
     var APP_TOKEN = '';
     

  2. 将文件提交到Github，

  3. 有一个包含 credentials.js 的 .gitignore 文件，
  4. var APP_TOKEN = 'now-you-can-put-your-token-here';

祝你的项目好运，它看起来令人兴奋:-)