如何安全地在javascript中嵌入訪問令牌？

Question

FB.api({user-id}, 
    { 
     "fields":"context", 
     "access_token": anAccessToken 
    }, function (response) { 
     console.log(response); 
    }) 

我目前通過上下文對象獲得共同朋友。但爲了實現這一目標，我需要從Oauth傳遞app_scoped_userid和我的訪問權限。

將這兩個字符串放在我的客戶端中讓我感到不自在，因爲任何人都可以使用它們來查詢用戶允許我的應用程序使用的任何信息。

有沒有更好的解決方案？ （我一直在考慮將圖形調用移動到服務器上，但這與我試圖實現的輕量級服務器 - 重型客戶機結構有關。）

我有權擔心嗎？

Answer 1

我不認爲這是正確的如何使用此功能。據https://developers.facebook.com/docs/graph-api/reference/v2.2/user.context/mutual_friends你應該能夠運行下列要求：

/{friend_id}?fields=context{mutual_friends} 

訪問令牌（從當前登錄的用戶）應通過透明的JS SDK來處理。我認爲沒有必要指定它的要求：

FB.api('/{friend_id}?fields=context{mutual_friends}', function(response) { 
    console.log(response); 
}); 

所涉及的{friend_id}，你需要查詢/me/friends先爲當前用戶，然後選擇一個特定的朋友。