Facebook JS SDK不需要app secret来进行身份验证:它有多安全？

Question

当我使用Facebook的JS SDK来验证我的应用程序(使用FB.init方法)时,我需要的只是我的App ID.它不需要我的应用程序密钥和/或应用程序密钥.然而,当我使用PHP SDK时,它需要我的应用程序秘密(至少我以前学习的例子使用了app ID和app secret).

是否安全并建议使用JS SDK进行身份验证？JS SDK的身份验证流程是如何实现的？

谢谢,Vineet

Answer 1

另一个需要警惕的问题是不要将从客户端获得的 FB 用户对象用于服务器端的任何内容。这是因为对于某人来说，制作一个脚本非常容易，而不是调用 fb.api '/me'，而是将带有另一个用户 ID 的“假”JSON 用户对象发送到您的应用程序。如果您正在对用户进行任何类型的服务器端处理，那么我认为您确实还需要进行某种服务器端身份验证。