iPhoneアプリのFacebookアクセストークンのサーバー側検証

私は、サーバーとの通信に基づいたiPhoneアプリケーションを開発しています。Facebookの認証メカニズムを使用したいと思っています。

基本的には、次のように機能するはずです。

1. 私のiPhoneアプリでは、ユーザーは自分のメールとパスワードを使用してFacebookにログインします。
2. ユーザーは、関連するFacebookアプリケーションのデータへのアクセスを許可します。
3. ログインに成功した後、iPhoneアプリがアクセストークンを受け取ります。
4. サーバーとのさらなる通信では、iPhoneアプリケーションは受信したFacebookアクセストークンを使用する必要があります（例：クエリ内）。
5. サーバーがアクセストークンを使用してiPhoneアプリからクエリを受信すると、Facebookにこのトークンが有効かどうか（および誰に対してか）を尋ね、有効な場合、サーバーはユーザーがFacebookで認証されていると想定します。

私の質問は、与えられたアクセストークンが有効である場合、サーバーはどのようにFacebookに問い合わせるかです。どういうわけか、トークンが私のFacebookアプリで有効かどうかを確認する必要があります。

私は見つけたAPIをグラフ化するために多くのFacebookクエリを試しましたが、何も期待どおりに機能しませんでした。いくつか例を挙げていただけますか？

ユーザーアクセストークンがアプリに属していることを検証するために使用できる2つのステップのプロセスを次に示します。

1）アプリアクセストークンを生成する

（https://developers.facebook.com/docs/howtos/login/login-as-app/）

https://graph.facebook.com/oauth/access_token?
client_id=YOUR_APP_ID
&client_secret=YOUR_APP_SECRET
&grant_type=client_credentials

2）ユーザーアクセストークンをデバッグする

（https://developers.facebook.com/docs/howtos/login/debugging-access-tokens/）

https://graph.facebook.com/debug_token?
input_token=INPUT_TOKEN
&access_token=ACCESS_TOKEN

ここで、INPUT_TOKENは確認するユーザーアクセストークン、ACCESS_TOKENはステップ1で取得したアプリのトークンです。

デバッグエンドポイントは基本的にトークンに関するすべての情報をダンプするため、次のような応答を返します。

{
    data: {
        app_id: YOUR_APP_ID,
        is_valid: true,
        metadata: {
            sso: "iphone-safari"
        },
        application: YOUR_APP_NAMESPACE,
        user_id: USER_ID,
        issued_at: 1366236791,
        expires_at: 1371420791,
        scopes: [ ]
    }
}

そのトークンが「アプリ」からのものではない場合、エラー応答が返されます。

更新：この回答は、最初にトークンがアプリに属する​​ものとして検証されないため、安全ではないようです。コメントを参照してください。元の回答は次のとおりです。

あなたはすでにアクセストークンを持っていると思います。このような場合、アクセストークンを検証する最も簡単な方法は、次のリクエストを発行することです

https://graph.facebook.com/me?fields=id&access_token=@accesstoken

ここで、@ accesstokenをお持ちのアクセストークンに置き換えます。私はURLを分解し、それぞれを説明します。

ここでは、アクセストークンの所有者のFacebookユーザーIDをJSON文字列として返す、グラフAPIリクエストを発行しています。キーワード「me」は、現在ログインしているユーザーまたはアクセストークンの所有者を表します。このリクエストでは、アクセストークンは必須パラメーターです。

提供されたアクセストークンが無効または期限切れの場合、Facebookは何らかのエラーメッセージを返します。

有効なアクセストークンの場合、結果はどういうわけかこのようになります

{
   "id": "ID_VALUE"
}

別の解決策は、ユーザーアクセストークンからアプリケーションIDを取得する（またはトークンのソースアプリケーションを確認する）でhttps://graph.facebook.com/app/?access_token=[user_access_token]説明されているように使用することです。

これは文書化されていない機能のようですが、トークンが生成されたアプリのIDを含むJSONを返します。トークンがアプリ用ではなかった場合、400を返します。

Facebookの最新バージョン（2.2）では、次のようにして行うことができます。

https://developers.facebook.com/docs/graph-api/reference/v2.2/debug_token

出力例：

{
    "data": {
        "app_id": "THE APP ID", 
        "application": "APP NAME", 
        "expires_at": 1427245200, 
        "is_valid": true, 
        "scopes": [
        "public_profile", 
        "basic_info", 
        "read_stream", 
        "email", 
        "publish_actions", 
        "read_friendlists", 
        "user_birthday", 
        "user_hometown", 
        "user_location", 
        "user_likes", 
        "user_photos", 
        "user_videos", 
        "user_friends", 
        "user_posts"
        ], 
        "user_id": "THE USER ID"
    }
}

private function facebookRequestMe($access_token)
{
    include_once "facebook.php";

    $facebook = new Facebook(array(
        "appId" => "your_application_id",
        "secret" => "your_application_secret"
    ));
    $facebook->setAccessToken($access_token);
    return $facebook->api("/me", "GET");
}

GitHubからFacebook SDK for PHPをダウンロードできます。

ユーザーがFacebookのUIDを渡したと主張し、彼らが自分のものであると主張し、それが正当かどうかを確認したい場合、これはPythonの関数であり、アクセストークン（Robin Jomeの回答の実装）と照合して検証します。

def verify_facebook_id(id, access_token):
    import requests
    import simplejson
    params = {'fields': 'id', 'access_token': access_token}
    text = requests.get("https://graph.facebook.com/me", params=params).text
    json = simplejson.loads(text)
    response_id = json["id"]
    return response_id == id

これは、1つのリクエストだけを使用してユーザートークンを検証する唯一の安全な方法です。

https://graph.facebook.com/debug_token?input_token={token-to-inspect}&access_token={app_id}|{app_secret}

記号「|」に注意してください 上記のURLではORとして使用されていませんが、区切り記号として使用されており、他のフィールドに入力した後に存在する必要があります。

応答は次のようなJSONになります。

{
    data: {
        app_id: {app_id},
        application: {app_name},
        expires_at: {some_number},
        is_valid: {true|false}
        scopes: {array_of_permissions},
        user_id: {user_id}
    }
}

参照：https : //developers.facebook.com/docs/facebook-login/access-tokens/#apptokens （上記の方法はこのセクションの下部に記載されています）

Facebookはアクセストークンとともに、オフセット値である「expires_in」パラメーターも送信します。これを使用して、アクセストークンがNSDateとして期限切れになる時期を計算します。次に、リクエストを行う必要がある場合は、現在の日付と有効期限を比較します。

Facebookが返すステータスコードと応答文字列も調べてみてください。