Question

FB.api({user-id},
    {
        "fields":"context",
        "access_token": anAccessToken
    }, function (response) {
        console.log(response);
    })

我目前通过上下文对象获得共同的朋友。但为了实现这一点，我需要传递app_scoped_userid和来自Oauth的accessstoken。

我感到不安的是将这两个字符串放在我的客户端中，因为任何人都可以使用它们来查询用户允许我的应用程序许可使用的任何信息。

有更好的解决方案吗？（我一直在考虑将图形调用移到服务器上，但这对我想要实现的轻型服务器密集型客户端结构起作用。）

我有权担心吗？

Answer 1

我认为您使用此功能的方式并不正确。根据{{3}}，您应该可以运行以下请求：

/{friend_id}?fields=context{mutual_friends}

JS SDK应该透明地处理访问令牌（来自当前登录的用户）。我认为没有必要为请求指定它：

FB.api('/{friend_id}?fields=context{mutual_friends}', function(response) {
  console.log(response);
});

要{friend_id}，您需要先为当前用户查询/me/friends，然后选择一位特定的朋友。

如何安全地在javascript中嵌套访问令牌？

1 个答案: