Facebook登录为现有登录的补充？

Question

我正在开发一些具有社交功能的PHP/MySQL电子商务网站，并希望将其与Facebook集成。我已经有了一个本地用户注册/会话处理系统。我设法加入了iframe“社交插件”，例如“Like”按钮。但我真的希望为用户提供通过本地注册流程通过Facebook注册网站的选项。

我了解通过OAuth协议获取访问令牌并最终获取用户ID的想法。我的疑虑是双重的：

1. 此方法是否安全？这是一个电子商务网站，但我不存储任何信用卡或任何其他敏感数据。我想不出如何被利用，但我只有一个头！

2. 我知道如何检索初始令牌并在注册过程中获取用户ID。但是，如何识别返回（会话）用户？我是否必须为此实现Javascript SDK（我想避免的）？或者，我是否像处理本机处理会话一样处理会话，但在适当的情况下用会员Cookie中的普通用户ID替换为Facebook用户ID？

如果答案很明显，我很抱歉。我搜索了谷歌和Facebook文档，但是我发现有一半的链接不赞成FBConnect wiki文章，新文档很有帮助，但是对这些示例很少。我不知道什么是支持，什么是新的，以及如何做到这一点！

Answer 1

1. 是的，Oauth非常安全。许多应用程序依赖于它，并且没有已知的方法来利用它。

2. 你可以这样做的一种方式是存储用户的Facebook ID，当他们回来时，你可以看到他们的ID已经存在于你的记录中，并且知道它是一个返回的用户。他们的会话可能会有所不同（例如自上次访问以来已过期），因此您不想存储他们的访问令牌;但他们的Facebook用户ID始终是相同的。

如何整合基本上在我的网站Facebook注册/登录是我加在我的用户表中的列facebook_id和“注册与Facebook”按钮。如果用户点击Facebook进行身份验证，并返回会话，并且用户是新的，我将重定向到注册页面，尽可能多地填充来自Facebook的数据（如他们的姓名），然后将Facebook ID添加为一个隐藏的输入字段。因此，他们注册时，他们的facebook_id将被填充到数据库中。这是与标准页面相同的注册页面，所以与非Facebook用户的唯一区别是facebook_id字段将为空。如果你愿意，你也可以不要求Facebook用户的密码。

对于用户登录，用户只需点击“使用Facebook登录”按钮并通过Facebook进行身份验证。一旦Facebook给我的会话，我登录用户在任何用户有facebook_id在Facebook的会议。既然你担心安全问题，我会注意到，这个会话不能伪造，因为它只有你和Facebook知道的应用密钥。如果你使用Facebook的SDK（你应该），你不必担心签名和签名验证。您可以从会话中阅读相关信息的事实意味着Facebook的SDK已经对其进行了验证。

This Facebook page是一个关于注册与Facebook集成的伟大指南。