Como verificar o token de acesso do Facebook?

Só há uma coisa que o servidor precisa fazer; apenas verifique a validade de qualquer token de acesso.

Os clientes enviam ao servidor o id de usuário e o token de acesso obtido por FB.getLoginStatus. Como eu esperava, haveria qualquer URL que verifique a validade do token de acesso, como http://xxx.facebook.com/access_token?=xxxxxxxxxxxxxxxxxxxxxxxxxxxx.

Isso retorna se está disponível ou não ou há alguma API (lado do servidor) para isso?

O método oficialmente suportado para isso é:

GET graph.facebook.com/debug_token?
     input_token={token-to-inspect}
     &access_token={app-token-or-admin-token}

Consulte a documentação do token de verificação para obter mais informações.

Um exemplo de resposta é:

{
    "data": {
        "app_id": 138483919580948, 
        "application": "Social Cafe", 
        "expires_at": 1352419328, 
        "is_valid": true, 
        "issued_at": 1347235328, 
        "metadata": {
            "sso": "iphone-safari"
        }, 
        "scopes": [
            "email", 
            "publish_actions"
        ], 
        "user_id": 1207059
    }
}

Você pode simplesmente solicitar https://graph.facebook.com/me?access_token=xxxxxxxxxxxxxxxxx se receber um erro, o token é inválido. Se você obtiver um objeto JSON com uma propriedade id, ele é válido.

Infelizmente, isso só dirá se seu token é válido, não se veio de seu aplicativo.

Só queria que você soubesse que até hoje eu estava primeiro obtendo um token de acesso de aplicativo (via solicitação GET para o Facebook) e, em seguida, usando o token recebido como app-token-or-admin-tokenem:

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app-token-or-admin-token}

No entanto, acabei de descobrir uma maneira melhor de fazer isso (com o benefício adicional de exigir uma solicitação GET a menos):

GET graph.facebook.com/debug_token?
    input_token={token-to-inspect}
    &access_token={app_id}|{app_secret}

Conforme descrito na documentação do Facebook para tokens de acesso aqui .

Basta solicitar (HTTP GET):

https://graph.facebook.com/USER_ID/access_token=xxxxxxxxxxxxxxxxx

É isso aí.

O token de aplicativo pode ser encontrado neste url.

https://developers.facebook.com/tools/accesstoken

Troca Access Tokenpor Mobile Number and Country Code(lado do servidor OU lado do cliente)

Você pode obter o mobile numbercom o seu access_tokencom este API https://graph.accountkit.com/v1.1/me/?access_token=xxxxxxxxxxxx . Talvez, depois de ter o mobile numbere o id, você possa trabalhar com ele para verificar o usuário com o seu server & database.

xxxxxxxxxx acima está o Access Token

Resposta de exemplo:

{
   "id": "61940819992708",
   "phone": {
      "number": "+91XX82923912",
      "country_prefix": "91",
      "national_number": "XX82923912"
   }
}

Troca Auth Codepor Access Token(lado do servidor)

Se você tiver um Auth Code, você pode primeiro obter o Access Tokencom este API- https://graph.accountkit.com/v1.1/access_token?grant_type=authorization_code&code=xxxxxxxxxx&access_token=AA|yyyyyyyyyy|zzzzzzzzzz

xxxxxxxxxx, yyyyyyyyyye zzzzzzzzzzacima são Auth Code, App IDe App Secretrespectivamente.

Resposta de exemplo

{
   "id": "619XX819992708",
   "access_token": "EMAWdcsi711meGS2qQpNk4XBTwUBIDtqYAKoZBbBZAEZCZAXyWVbqvKUyKgDZBniZBFwKVyoVGHXnquCcikBqc9ROF2qAxLRrqBYAvXknwND3dhHU0iLZCRwBNHNlyQZD",
   "token_refresh_interval_sec": XX92000
}

Nota - Este é o preferido na server-sidedesde o APIexige o APP Secretque não é feito para ser sharedpara security reasons.

Boa sorte.