社交媒体身份验证：授权/验证的最佳做法？

Question

解释问题；让我们以集成了“使用Facebook登录”作为注册/登录方法的应用程序为例。 客户端对用户进行身份验证并获取access_token（有效期为60天），并将其传递给服务器。 服务器，使用access_token调用facebook以提取基本配置文件信息。保存（如果是新用户）或更新（如果是旧用户）用户配置文件以及该access_token。

每次对我系统的API进行调用时，授权中间件都会拉该用户的access_token，对Facebook进行调用以查看用户是否仍然有效，然后将该请求传递给内部API。如果停用或更改了用户密码，授权中间件会将其access_token标记为已过期，并要求用户再次使用“使用facebook登录”。

问题陈述：

1. 对于每个呼叫，facebook服务器都有一个开销/等待时间，以便用户确认用户是否有效。
2. 如果用户更改了密码，那么他也应该从我们的应用程序中注销。如果我们删除此授权，请检查我们将如何完成。

最佳方法是什么，以便使从点1开始的API等待时间最小化或结束，但应保持每个API调用的授权级别？

PS：这个问题是一个普遍的问题，不仅基于该facebook的示例，而且还针对其他各种社交媒体登录。