javascript - Facebook JS SDK，从客户端传递 UserID 不安全？

Question

使用 facebook js sdk，我不应该从我的服务器的客户端传递用户 ID 来查找他们的帐户并登录，对吗？

我需要使用 accessToken 从 facebook 服务器获取用户 ID，然后使用它来查找他们的帐户？如果我使用客户端的 userId，任何人都可以传入一个 id 并登录到任何用户？

谢谢！

Answer 1

Facebook JS SDKfbsr_<application id> 为您的域设置了已经包含用户 ID 的 cookie，因此无论您是否发送它都没有关系。

Cookie 有效负载是 Web 安全的 base64 编码 JSON，其中包含：

{algorithm: "HMAC-SHA256", code: <OAuth code>, issued_at: <time stamp>, user_id: <user facebook id>}