android - 在创建 Android 应用程序时，出于安全目的，我是否需要存储访问令牌？

Question

我正在创建一个使用 facebook 登录的 android 应用程序。然后，我将所有用户数据存储在服务器上的数据库中。我是否也应该存储用户访问令牌，还是仅在数据库中使用用户 ID 并让应用程序处理用户是否有效是否足够安全？例如。如果我有一个数据库来存储我只希望该用户看到的列表，并且我正在使用 FB 进行身份验证。每次访问他们的列表时不必验证 fb 访问令牌是否足够安全？

Answer 1

请注意，这不考虑用户可能已撤销对您的应用程序的访问权限或用户已更改其密码的情况。您需要始终注意无效的 access_token 并重定向用户以重新授权您的应用程序。对于无效的访问令牌，出现以下错误：

User revoked access to your app:
{"error":{"type":"OAuthException","message":"Error validating access token: User               
 1053947411 has not authorized application 157111564357680."}}

OR when password changed:
{"error":{"type":"OAuthException","message":"Error validating access token: 
The session is invalid because the user logged out."}}