Facebook 访问令牌 - 服务器端身份验证

Posted

技术标签:

【中文标题】Facebook 访问令牌 - 服务器端身份验证【英文标题】:Facebook Access Tokens - Server-Side Authentication 【发布时间】:2012-06-05 16:23:11 【问题描述】:

您好,我正在尝试使用 facebook 服务器端身份验证来获取访问令牌,但不断收到错误提示。

我正在使用波纹管:

$app_id = "YOUR_APP_ID";
   $app_secret = "YOUR_APP_SECRET";
   $my_url = "YOUR_URL";

   session_start();
   $code = $_REQUEST["code"];

   if(empty($code)) 
     $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
     $dialog_url = "https://www.facebook.com/dialog/oauth?client_id=" 
       . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
       . $_SESSION['state'];

     echo("<script> top.location.href='" . $dialog_url . "'</script>");
   

   if($_REQUEST['state'] == $_SESSION['state']) 
     $token_url = "https://graph.facebook.com/oauth/access_token?"
       . "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url)
       . "&client_secret=" . $app_secret . "&code=" . $code;

     $response = file_get_contents($token_url);
     $params = null;
     parse_str($response, $params);

     $graph_url = "https://graph.facebook.com/me?access_token=" 
       . $params['access_token'];

     $user = json_decode(file_get_contents($graph_url));
     echo("Hello " . $user->name);
   
   else 
     echo("The state does not match. You may be a victim of CSRF.");
   

App ID 和 APP Secret 已被删除,所以不要担心那部分。 我收到有关 get_file_contents 超时的错误。

[function.file-get-contents]:无法打开流:连接计时 出去

是否有其他或更好的方法来获取访问令牌?

Bellow 是我尝试过的版本,包括 cURL 想法:

function get_data_cURL($url)

  $ch = curl_init();
  $timeout = 5;
  curl_setopt($ch,CURLOPT_URL,$url);
  curl_setopt($ch,CURLOPT_RETURNTRANSFER,1);
  curl_setopt($ch,CURLOPT_CONNECTTIMEOUT,$timeout);
  $data = curl_exec($ch);
  curl_close($ch);
  return $data;


function getAccessToken()
    $app_id = FB_APP_ID;
    $app_secret = FB_SECRET_ID;
    $canvas_URL = FB_CANVAS_URL;

    session_start();
    $code = $_REQUEST["code"];

    if(empty($code)) 
      $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
      $dialog_url = "https://www.facebook.com/dialog/oauth?client_id=" 
        . $app_id . "&redirect_uri=" . urlencode($canvas_URL) . "&state="
        . $_SESSION['state'];

      echo("<script> top.location.href='" . $dialog_url . "'</script>");
    

    if($_REQUEST['state'] == $_SESSION['state']) 
      $token_url = "https://graph.facebook.com/oauth/access_token?"
        . "client_id=" . $app_id . "&redirect_uri=" . urlencode($canvas_URL)
        . "&client_secret=" . $app_secret . "&code=" . $code;

     $returned_content = get_data_cURL($token_url);
    echo'Well Done! - '.$returned_content;

    
    else 
      echo("The state does not match. You may be a victim of CSRF.");
    

详情:

应用设置 - 画布 URL:http://www.apps.elistone.co.uk/DrawMyFriend/

FB_APP_ID = The Facebook App ID
FB_SECRET_ID = The Facebook Secret ID
FB_CANVAS_URL = http://www.apps.elistone.co.uk/DrawMyFriend/

即使有这个更新我仍然得到这个错误:

旧错误

干得好! - "error":"message":"验证验证错误 代码。","type":"OAuthException","code":100

新错误

这似乎是由于重定向删除了状态代码造成的。

状态不匹配。你可能是 CSRF 的受害者。 - 193c791ddd71c3fd84d411db5554c315(状态码)

我也尝试通过更改来绕过 CSRF 保护:

if($_REQUEST['state'] == $_SESSION['state'])

到:

 if(!empty($code))

但这仍然给出了旧的错误问题,我听说它是​​由重定向链接中的某些东西引起的,但我不知道如何解决它。

问题已解决

经过一段时间的尝试,我使用 php SDK 使用以下方法获取用户访问令牌:

$app_id = FB_APP_ID;
$app_secret = FB_SECRET_ID;
$canvas_URL = FB_PAGE_URL;
$code = $_REQUEST["code"];

if(empty($code)) 
  $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
  $dialog_url = "https://www.facebook.com/dialog/oauth?client_id=" 
    . $app_id . "&redirect_uri=" . $canvas_URL . "&state="
    . $_SESSION['state'];

  echo("<script> top.location.href='" . $dialog_url . "'</script>");

if($_REQUEST['state'] == $_SESSION['state']) 
$facebook->api('oauth/access_token', array(
    'client_id'     => FB_APP_ID,
    'client_secret' => FB_SECRET_ID,
    'type'          => 'client_cred',
    'code'          => $code,
));
$token = $facebook->getAccessToken();
echo$token;

我现在要把它变成某种功能。 非常感谢大家的时间和帮助。

希望这对未来有需要的人有所帮助(除非 Facebook 突然改变一切)

【问题讨论】:

有什么理由不想使用 Facebook PHP SDK? @phwd 我不使用 PHP SDK 的原因是因为它给了我应用程序访问令牌而不是用户访问令牌,这是我需要做的事情。 【参考方案1】:

我建议您使用PHP SDK library 与 Facebook API 进行通信。并且只需使用getAccessToken()getAccessTokenFromCode() 方法。

更新

要检索用户访问令牌,您必须在获取访问令牌之前发送 oauth 请求。答案更新中的详细信息:

    $facebook->api('oauth/access_token', array(
        'client_id'     => APP_ID,
        'client_secret' => APP_SECRET,
        'type'          => 'client_cred',
        'code'          => $code,
    ));
    $token = $facebook->getAccessToken();

【讨论】:

getAccessToken() 目前只给我应用程序访问令牌,这对我需要的东西来说还不够好。我希望需要用户访问令牌。我将如何设置它来做到这一点? 使用getUserAccessToken() 方法 看起来很接近但是这个错误:Fatal error: Call to protected method BaseFacebook::getUserAccessToken() 好的。当您调用getAccessToken() 时,它首先建立访问令牌作为应用程序访问令牌。比它尝试获取用户访问令牌。 IE。您可以使用getAccessToken(),如果可以,它将建立用户访问令牌。 是的,我检查了一下,getAccessToken() 如果可能的话应该得到getUserAccessToken(),但我的只得到应用程序访问令牌,似乎没有人知道这是为什么。我不可能是唯一有这个问题的人。一定有什么问题..【参考方案2】:

此步骤失败的两个最可能原因是:

redirect_uri 缺少尾随 '/' 您对/oauth/access_token 的调用中的redirect_uri 与您提供给oauth 对话框的redirect_uri 不完全匹配

无论哪种情况,验证码都会失败,你不会得到令牌,

“无法打开流:连接超时”错误可能与此无关,但它通常表示尝试从服务器访问 graph.facebook.com 时出现 DNS 或网络错误

【讨论】:

redirect_uri = apps.elistone.co.uk/DrawMyFriend 所以它确实有斜杠。从我可以看到的 uri 是完全一样的。所以缺少什么。

以上是关于Facebook 访问令牌 - 服务器端身份验证的主要内容,如果未能解决你的问题,请参考以下文章

通过 Facebook 令牌从 Android 应用程序对 WebAPI 的身份验证访问

如何在社交身份验证中存储 facebook 的访问令牌

ASP.net core web api:使用 Facebook/Google OAuth 访问令牌进行身份验证

使用 Facebook 的访问令牌在 UIWebView 中显示带有经过身份验证的用户会话的粉丝页面

如何使用 JWT for Google firebase 生成身份验证令牌?

API 无效的随机 Facebook iOS SDK 身份验证令牌