oauth-2.0 - 跨应用共享 Facebook 访问 token

Question

我想使用 facebook api 向第三方提供服务。我们可以共享访问 token 吗？如果第三方为我的服务提供了用户的访问 token ，即使我的 app_id 和密码与请求它的应用不匹配，我也可以访问该用户数据吗？

我是否应该让用户在我的网站上通过单独的 oauth 流程，即使他们已经为其他第三方完成了流程？

谢谢。

肯

Answer 1

即使该用户访问 token 仅针对一个应用颁发，也可以从任何其他应用轻松使用。

例子:

1. 在此处获取“Graph API Explorer”应用程序的访问 token https://developers.facebook.com/tools/explorer/?method=GET&path=me并提出请求 - 您将看到您的数据。
2. 复制访问 token 并打开其他机器|浏览器并转到 https://graph.facebook.com/me?access_token=[access_token] - 您仍然可以检索有关您的 Facebook 用户的信息!

在这里https://developers.facebook.com/docs/concepts/login/access-tokens-and-types/它提到了

Our Data Policies explicitly prohibit any sharing of an Access Token for your app with any other app. However, we do allow developers to share Tokens between a native implementation and a server implementation of the same App (ie. using the same App ID) as long as the transfer takes place using HTTPS.