Facebook oAuth a besoin d'une clé secrète?

Question

Facebook oAuth nécessite votre clé secrète? Je pensais que tu n'étais pas censé partager ça. Est-ce que j'utilise la mauvaise clé secrète?

Answer 1

Parlez-vous lorsque votre programme demande un jeton d'accès? Si c'est le cas, vous devez fournir le secret que vous allez utiliser afin qu'il puisse être connu par Facebook et associé au jeton d'accès qu'il vous envoie. Une fois que vous avez votre jeton d'accès, vous ne devriez plus avoir à envoyer votre secret à Facebook ... utilisez-le simplement pour hacher vos demandes d'API.

Answer 2

Les clés API résident dans PHP et vous n'êtes pas censé les imprimer n'importe où. Il suffit de les utiliser pour initialiser l'API facebook php. Voici un tutoriel que j'ai écrit pour écrire des applications Facebook.

http://www.dreamincode.net/forums/topic/153919-facebook-php-api-and-xfbml-on-iframe/

Answer 3

Votre clé secrète est un secret partagé entre vous et Facebook. Ainsi, vous pouvez l'envoyer sur des canaux sécurisés (tels que SSL)

Answer 4

La réponse est, cela dépend. Ma compréhension est que vous posez des questions sur le client_secret ou app_secret.

Si vous effectuez une connexion côté serveur à Facebook, vous utilisez le client_secret. C'est le type d'autorisation d'autorisation du protocole oauth. Si vous faites une connexion côté client à Facebook, vous ne voulez pas inclure le client_secret car votre code peut être décompilé et d'autres peuvent y accéder, et commencer à interagir avec Facebook en utilisant vos informations d'identification. Dans ce cas, vous utilisez le type de subvention implicite du protocole oauth. Facebook ne nécessite pas le code secret du client dans ce cas, et en fait, leur liste de contrôle page de sécurité ne dit jamais d'inclure le secret client: https://developers.facebook.com/docs/facebook-login/security#checklist

Le meilleur (avis) courir vers le bas sur OAuth dans une perspective conceptuelle (plutôt que Nitty code rugueux) que j'ai trouvé est ici: https://stormpath.com/blog/what-the-heck-is-oauth (je n'ai pas d'association, juste comme cette page).

Espérons que cela aide, D