Facebook的OAuth 2.0身份验证是否严格执行RFC？

Question

我正在努力将FB登录添加到我的网站。在这个过程中，我想我不妨一般地为OAuth 2.0握手写一个快速助手。

在阅读的OAuth RFC

http://tools.ietf.org/html/draft-ietf-oauth-v2-25#page-7

FB似乎不符合标准。例如;

• 3.3。范围应该是一个空格分隔的列表，但FB想用逗号分隔。

• 在4.1.1中。授权请求，FB不关心所需的response_type参数。

• 在4.1.3。访问令牌请求，FB不关心所需的grant_type参数，但更有趣的是，RFC希望参数在主体中发送。

• 并在4.1.4。访问令牌响应，有效负载的整个格式是不同的。

我对吗？

与Facebook站点链接的OAuth版本2.12也因FB的上述流程文档而异。

请注意，4.1.3。在2.12中要求在令牌请求中传递客户端ID和秘密，而在2.25版本中这一要求已消失。

Answer 1

所以答案是Facebook不使用OAuth。

Facebook使用自己的假装OAuth。如果您根据规范编写OAuth库，则它不适用于Facebook。