javascript - FB身份验证的正确方法

我的项目使用Node.js和Express，但问题是关于通用方法。

我们的用户都来自FB，我们除了FB之外没有任何身份验证。我们需要将某些操作与特定的FB用户关联起来，并且还需要他们的令牌与FB进行通信。

目前我们这样做：

用户访问该页面
有隐形块：一个带有占位符，用于用户的头像和名称（'登录'），另一个带按钮触发FB登录（'已登出'）
使用FB JS SDK检查用户的登录状态。如果已连接（实际上意味着：登录到FB，验证我们的应用并提供了我们需要的所有权限），我们会获得用户名和FB ID并显示“已登录”块。否则显示“已注销”块
对于某些操作的登录用户，用户的access_token通过AJAX传递给服务器（不用担心，此处为HTTPS），并由服务器代码用于发布到用户墙壁或其他任何内容的操作
FB登录按钮由JS处理并调用FB.login（）
关于JS authResponseChanged事件采取明显的操作（显示/隐藏登录/隐藏块）

什么是好的：我们总是知道用户的状态是有效的（令牌的TTL超过正常页面的生命周期，所以我们在这里很好）。

我们不喜欢什么： *客户端令牌是短暂的（是的，我们可以交换它们，但如果我们能找到任何替代方案，我们不想这样做） *它通常需要多次向FB请求（1 - 加载JS SDK，2 - 获取登录状态），直到我们可以显示某些内容。直到我们网站的“登录”区块为空。

有什么问题？

我们正在寻找一种在这里使用某些服务器端代码的最佳方式，并且当我们确定用户已登录时，至少会呈现用户的名称和头像。

我可以想象一下这样的计划：

关注：

如果用户从FB登录或撤销了App权限，我们应该如何知道它以及何时应该检查它（检查每N个请求？每X小时一次？只检查令牌是否会在Y小时内到期？）
如果我们在渲染任何模板之前检查用户的状态（在official example中是这种情况），这会减慢速度，对吧？因为我认为FB API调用在炎热时段可能会相当慢。