login Facebook/MeuSite usando SDK Javascript

Eu resolvi usar o facebook para fazer o cadastro e login no meu site, uma opção, já que existe o cadastro próprio.

Usando as instruções do facebook de outros autores na internet (muito melhores que do próprio face), para fazer login usando javascript/SDK cheguei à uma dúvida que nenhum deles aborda.

- Meu site faz login usando email e senha, quando é criado uma sessão e um cookie caso marque de deseja relembrar senha;

- Segundo o login pelo facebook eu conecto a app/facebook;

Depois que ele verifica que houve o login valido entre facebook e app eu posso informar o site, mas eu não tenho uma senha para enviar para meu arquivo de login do site, e assim criar uma sessão. Criar uma sessão apenas passando o email conseguido da app do face deixa livre para que alguém faça uma página paralela e passe um login falso de usuário, já que os campos e arquivo de login são visíveis no JS.

Alguns responderam para outros em foruns para o uso de Tokens, mas o facebook mesmo fala que o uso de tokens tem outra finalidade e os tokens de usuários só tem validade de no máximo 60 dias...

Isto é: Autentiquei pelo meu app/facebook, como passo para meu site que existe a conexão e que pode criar uma sessão?