如何安全地在javascript中嵌入访问令牌？

FB.api({user-id}, 
    { 
     "fields":"context", 
     "access_token": anAccessToken 
    }, function (response) { 
     console.log(response); 
    })

我目前通过上下文对象获得共同朋友。但为了实现这一目标，我需要从Oauth传递app_scoped_userid和我的访问权限。如何安全地在javascript中嵌入访问令牌？

将这两个字符串放在我的客户端中让我感到不自在，因为任何人都可以使用它们来查询用户允许我的应用程序使用的任何信息。

有没有更好的解决方案？（我一直在考虑将图形调用移动到服务器上，但这与我试图实现的轻量级服务器 - 重型客户机结构有关。）

我有权担心吗？

来源

2014-11-06 Patrick Ward

你如何获得访问令牌？你只是使用FB.login？ – luschn 2014-11-06 14:07:20

我不认为这是正确的如何使用此功能。据https://developers.facebook.com/docs/graph-api/reference/v2.2/user.context/mutual_friends你应该能够运行下列要求：

/{friend_id}?fields=context{mutual_friends}

访问令牌（从当前登录的用户）应通过透明的JS SDK来处理。我认为没有必要指定它的要求：

FB.api('/{friend_id}?fields=context{mutual_friends}', function(response) { 
    console.log(response); 
});

所涉及的{friend_id}，你需要查询/me/friends先为当前用户，然后选择一个特定的朋友。

来源

2014-11-06 15:49:26 Tobi

很抱歉，我们的响应时间很长。未提供访问令牌的问题。除非提供访问令牌，否则FB上的安全性偏好较高的用户不会显示为共同朋友。 – 2014-11-10 11:00:26

这是不正确的。阅读文档。 – Tobi 2014-11-10 11:20:13

如何安全地在javascript中嵌入访问令牌？

回答

相关问题