検証のFacebookのJavaScript APIレスポンス

Question

が言うから応答を検証する方法があります：ログイン用クッキーを検証

FB.api(
    { 
    method: 'fql.query', 
    query: 'SELECT name, pic FROM profile WHERE id= ' + FB.getSession().uid 
    }, 
    function(response) { 
    //... 
    } 
); 

が提供SIGパラメータに比べてMD5ハッシュとアプリケーションの秘密鍵を使用して十分に簡単です。しかし、APIコールの場合、誰かが火かき棒を使ってレスポンスを変更するのを止めるだろうか？明らかに、これは機密情報のためにバックエンドで行うことができますが、私は可能な限りクライアント側でFacebookへの前後の帯域幅の多くを維持したいと思います。

どのような考えですか？

Answer 1

私は、ユーザーが使用すると、たとえばDBに保存する/これらの入力（応答）を取得し、それらを処理している場合を除き、アプリケーションの彼自身の経験を破る以外に何かできること有害を考えることはできません。

1. ユーザーがFB状態を更新できる入力フィールドがあり、それを自分のDBにも保存したいのですか？
   この場合、通常の入力検証（mysql_real_escape..etc）を/ SHOULDします。
2. ユーザーのメールを保存しますか？
   ユーザーが認証され、アプリケーションへのアクセス権を付与すると、サーバー側の呼び出しを使用してユーザーに関するほとんどすべての情報を取得できます。たとえば、ユーザーの電子メールを保存するには、をemail許可を取得して取得できる場合は、

Answer 2

JavaScript（1）で行う可能性のある検証は、ユーザーがJSを少し使って克服できたものです。

Facebookとの通信が安全で干渉されないようにする必要がある場合は、サーバーで行います。

（1）あなたがvalidateFacebookResponse(resp);機能を持っていた場合...エンドユーザは単に再宣言する機能に必要

...

function validateFacebookResponse(resp){ 
    return true;//always return true! 
} 

、あなたが持っていたすべての「セキュリティ」窓の外です。