¿Cómo verificar el token de acceso de Facebook?

Solo hay una cosa que el servidor tiene que hacer; simplemente verifique la validez de cualquier token de acceso.

Los clientes envían al servidor la identificación de usuario y el token de acceso obtenido por FB.getLoginStatus. Como esperaba, habría cualquier URL que verifique la validez del token de acceso, como http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Eso devuelve si está disponible o no o hay alguna API (lado del servidor) para eso?

El método oficialmente admitido para esto es:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Ver los documentos del token de verificación para obtener más información.

Un ejemplo de respuesta es:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Simplemente puede solicitar https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx si recibe un error, el token no es válido. Si obtiene un objeto JSON con una propiedad id, entonces es válido.

Desafortunadamente, esto solo le dirá si su token es válido, no si proviene de su aplicación.

Solo quería hacerle saber que hasta hoy, primero obtenía un token de acceso a la aplicación (a través de una solicitud GET a Facebook) y luego usaba el token recibido como app-token-or-admin-tokenen:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

Sin embargo, me acabo de dar cuenta de una mejor manera de hacer esto (con el beneficio adicional de requerir una solicitud GET menos):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Como se describe en la documentación de Facebook para tokens de acceso aquí .

Simplemente solicite (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

Eso es.

El token de la aplicación se puede encontrar en esta URL.

https://developers.facebook.com/tools/accesstoken

Exchange Access Tokenpara Mobile Number and Country Code(lado del servidor o lado del cliente)

Puede obtener el mobile numbercon su access_tokencon este API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Tal vez, una vez que tenga el mobile numbery el id, pueda trabajar con él para verificar al usuario con suserver & database .

xxxxxxxxxx arriba está el Access Token

Respuesta de ejemplo:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Exchange Auth Codepor Access Token(lado del servidor)

Si tiene un Auth Codeen su lugar, primero puede obtenerlo Access Tokencon esto API: https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyyy zzzzzzzzzzarriba son Auth Code, App IDy App Secretrespectivamente.

Respuesta de ejemplo

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Nota: esto se prefiere en el server-sideya que APIrequiere el APP Secretque no está destinado a ser sharedparasecurity reasons .

Buena suerte.