facebook - facebook 的 $_REQUEST[ "signed_request" ] 可以伪造吗

Question

我有 my_app ，它只能作为 facebook 画布应用程序访问，我正在寻找 my_app 将在加载阶段执行的可靠测试，以验证它是否被加载到 facebook iframe 中。

在合法的 facebook iframe 中，$_REQUEST["signed_request"] 是可读的。但我想知道另一个网页是否会以某种方式尝试加载 my_app 并发送假的“signed_request”。

Answer 1

签名的请求使用特定于您的应用的密钥进行签名。除非有人设法从 FB 服务器窃取了该密钥，并且您验证了签名请求是有效的（带有parse_signed_request），否则您应该是安全的。