Jak bezpiecznie przekazać identyfikator Facebooka z klienta na serwer?

Question

Mam aplikację na płótnie na Facebooku. Używam zestawu SDK JS do uwierzytelniania użytkownika po stronie przeglądarki i żądania różnych informacji za pośrednictwem FB.api (np. Nazwisko, przyjaciele itp.).

Chcę również utrzymują kilka dodatkowych informacji o użytkowniku (nie odbędzie się na Facebook) do bazy danych na moim serwerze poprzez ajax połączenia:

{ userFavouriteColour: "Red" } 

aby zapisać to na serwerze i stowarzyszonej z prawidłowym użytkownikiem , Muszę znać Facebookowy uid i to stanowi problem. Jak przekazać numer identyfikacyjny od klienta do serwera.

Opcja 1: Dodaj UID do żądania ajax:

{ uid: "1234567890", 
    userFavouriteColour: "Red" } 

To oczywiście nie jest dobre. Byłoby trywialne, gdyby ktoś złożył prośbę o dodanie do mojego serwisu internetowego za pomocą czyjegoś identyfikatora na Facebooku i zmienił swój ulubiony kolor.

Opcja 2: Na serwerze wyodrębnij identyfikator z pliku cookie: Czy to możliwe? Czytałem, że Facebook ustawia plik cookie zawierający identyfikator UID i dostęp, ale czy mam dostęp do tego pliku cookie w mojej domenie? Co ważniejsze, mogę bezpiecznie wyodrębnić postaci UID cookie lub jest to otwarty na fałszowanie podobnie jak wariant 1.

Wariant 3: po stronie serwera uwierzytelniania użytkownika na serwerze: mogę korzystać z server- uwierzytelnianie po stronie serwera w celu sprawdzenia tożsamości użytkownika na moim serwerze. Ale czy to zadziała, jeśli korzystam już z uwierzytelniania po stronie klienta w przeglądarce? Czy otrzymam dwa różne tokeny dostępu? Chciałbym wysłać żądania FB.api z przeglądarki, więc potrzebuję tokena dostępu na kliencie (nie tylko na serwerze).

To musi być bardzo powszechny scenariusz, więc myślę, że brakuje mi czegoś fundamentalnego. Czytałem wiele dokumentacji na Facebooku (różne przepływy uwierzytelniania, tokeny dostępu, podpisane_request, itp.) I wiele postów na SO, ale nadal nie rozumiem, jak po stronie klienta uwierzytelnianie i uwierzytelnianie po stronie serwera ładnie się razem.

Krótko mówiąc, chcę poznać tożsamość użytkownika na serwerze, ale nadal wysyłam żądania do api Facebooka z przeglądarki klienta?

(używam ASP.NET oraz C# SDK Facebook na serwerze)

EDIT: Dodano Bounty. Miałem nadzieję uzyskać bardziej deifnitive, oficjalne zalecenie, jak poradzić sobie z tą sytuacją, a nawet przykład. Jak już wspomniano, przeczytałem już wiele oficjalnych dokumentów FB na temat przepływów uwierzytelniających, ale nadal nie mogę znaleźć niczego ostatecznego na temat tego, jak działa uwierzytelnianie po stronie klienta i po stronie serwera.

Answer 1

Wariant 1: Najprostszym sposobem mogę myśleć jest włączenie accessToken w JS i przekazać go za pomocą wywołania AJAX.

Opcja 2: Stosując takie same jak w wariancie 1, ale zamiast wysyłać tylko accessToken wysłać signedRequest.

Po stronie serwera można dekodować go stosując (TryParseSignedRequest metody), które dadzą Ci UserID :-)

UWAGA: signedRequest jest szyfrowana z tajnymi aplikacji. jesteś jedyną osobą, która powinna to wiedzieć, więc jesteś bezpieczny w tym celu.

Zastrzeżenie:

mam żadnego doświadczenia kodowania w C#, ale trochę szukaj w google dał mi tak:

Facebook C# SDK for ASP.NET

Making AJAX Requests with the Facebook C# SDK

Answer 2

Nie wiem, czy jest to język specyficzny, ale korzystanie z uwierzytelniania po stronie serwera i po stronie klienta nie szkodzi.

Możesz pracować nad opcją 2, ale tak, to będzie również podatne na podszywanie się.

Wykonując opcję 3, otrzymasz pojedynczy token dostępu dla tej sesji użytkownika, więc byłby to najlepszy wybór, ponieważ zawsze masz szansę na podszywanie się przy przekazywaniu informacji o użytkowniku ze strony klienta.

Answer 3

Niedawno miałem dokładnie to samo pytanie. To opcja 2. Sprawdź this post na Facebooku.

Szczerze mówiąc nie jestem wystarczająco hackerem, aby wiedzieć, czy można sfałszować UID w ciasteczku, ale wydaje się, że jest to "oficjalny" sposób na zrobienie tego.

EDYCJA: do drugiego pytania w ramach opcji 2, tak, wierzę, że musisz uzyskać dostęp do tego pliku cookie w swojej domenie.

Answer 4

To bardzo proste faktycznie.

Gdy użytkownik ładuje aplikację, użyj server side authentication, zdobądź token dostępu i załaduj dane użytkownika, wysyłając żądanie api z serwera.
Po stronie serwera będziesz miał wszystko, czego potrzebujesz i jest piaskowany.

Gdy strona wyświetla się dla użytkownika, za pomocą js sdk uzyskać dane uwierzytelniające użytkownika, powinieneś być w stanie użyć FB.getLoginStatus, ponieważ użytkownik już przeszedł uwierzytelnianie po stronie serwera.
Teraz po stronie klienta masz także token dostępu, którego możesz użyć do pobrania danych użytkownika z api wykresu.

Dwa tokeny będą różne, a także będą miały inne wygasanie, ale nie powinno to stanowić problemu, zarówno token powinien działać poprawnie, jak się tego oczekuje.
Ponieważ obie strony mają swój własny token i sposób wysyłania żądań do interfejsu API, nie ma potrzeby wysyłania między nimi żadnych danych fb.

Tak więc trzecia opcja, którą mi wymieniłeś, brzmi najlepiej, a także jest bardzo prosta w implementacji.

---

Edit

Wszystkie facebook SDK są tylko opakowania na żądanie http ponieważ cały FB API jest wykonany na żądania HTTP.
Pakiety SDK zapewniają łatwy i krótszy dostęp do danych bez potrzeby samodzielnego tworzenia adresów URL (z wszystkimi możliwymi parametrami), żądania i analizy odpowiedzi.

Szczerze mówiąc, myślę, że przestanie zapewniać sposób na C# SDK do obsługi uwierzytelniania po stronie serwera jest bardzo złą decyzją.
Jaki jest sens dostarczania zestawu SDK, który nie implementuje całego interfejsu API?

Najlepszą odpowiedzią na twoje pytanie, z mojego doświadczenia, jest użycie uwierzytelniania po stronie serwera i po stronie klienta, a ponieważ C# SDK go nie obsługuje, moją radą jest utworzenie własnego zestawu SDK.
Nie jest to wcale skomplikowane, już zaimplementowałem go dla Pythona i Java (dwa razy), a ponieważ będziesz go rozwijać dla własnych potrzeb, może on być dostosowany do Twoich konkretnych potrzeb, w przeciwieństwie do publicznego SDK, który powinien obsługiwać wszystkie możliwe opcje.

---

2-ty Edit

Nie ma potrzeby, aby stworzyć całkowicie nowy zestaw SDK, można po prostu „rozciągać” te, których używasz i dodać brakujące części, które są potrzebne, podobnie jak wsparcie uwierzytelniania strona Sever.