login Facebook/MeuSite usando SDK Javascript

[ronaldomarcos 4]

Eu resolvi usar o facebook para fazer o cadastro e login no meu site, uma opção, já que existe o cadastro próprio.

 

Usando as instruções do facebook de outros autores na internet (muito melhores que do próprio face), para fazer login usando javascript/SDK cheguei à uma dúvida que nenhum deles aborda.

 

- Meu site faz login usando email e senha, quando é criado uma sessão e um cookie caso marque de deseja relembrar senha;

- Segundo o login pelo facebook eu conecto a app/facebook;

 

Depois que ele verifica que houve o login valido entre facebook e app eu posso informar o site, mas eu não tenho uma senha para enviar para meu arquivo de login do site, e assim criar uma sessão. Criar uma sessão apenas passando o email conseguido da app do face deixa livre para que alguém faça uma página paralela e passe um login falso de usuário, já que os campos e arquivo de login são visíveis no JS.

 

Alguns responderam para outros em foruns para o uso de Tokens, mas o facebook mesmo fala que o uso de tokens tem outra finalidade e os tokens de usuários só tem validade de no máximo 60 dias...

 

 

Isto é: Autentiquei pelo meu app/facebook, como passo para meu site que existe a conexão e que pode criar uma sessão?

[wllf 2]

Ronaldo, não sei se atende a sua dúvida, mas recentemente criei uma página com login do Facebook usando a SDK com JavaScript!

 

Nessa página após receber a confirmação de "connected" envio uma requisição AJAX para um script back-end e gravo nome e e-mail do usuário caso ainda não esteja gravado no banco de dados e crio as sessions, depois retorno para página de login autorizando o acesso.

 

A partir disso sempre verifico no topo das páginas se essa session existe e se está autorizado pelo facebook, como se fosse um login normal via sistema.

[ronaldomarcos 4]

Minha ideia original era fazer isso, só que sem PHP (que é a linguagem do facebook) não consegui deixar as solicitações ocultas, isto é: se eu verifico usando usando apenas javascript se está conectado quando envio ao back-end, seja para criar o cadastro ou fazer login, ficará visível como e o que estou passando...

Eu fiz da forma que falou, mas como eu não envio senha como garantir que o cara não leia meu javascript e faça uma solicitação direto no script back-end criando uma sessão falsa?

Achei frágil demais, talvez por eu não estar compreendendo o processo.

Só que fiz da seguinte maneira, uso apenas ajax para inserir os dados no site, mas preciso da conexão com o bd para pegar esses dados, nesse caso apenas, faço a conexão usando ASP...

Então, faço login no app do facebook usando asp (nada de javascript) e na mesma página eu já testo se retornou conectado e crio a sessão (ou cadastro). Dessa forma não passo informação de uma página ou script/linguagem para outra, que poderia ser interceptado ou executado na máquina do usuário.

Quanto ao token que citei, depois vi que muita gente está postando artigos com equívocos, e realmente os manuais do facebook estão mais adequados, já que eles tratam de 'outros tokens', e não os criados automaticamente em qualquer app. Eu não preciso gerenciar eles, nem ter armazenados ou algo parecido apenas para cadastro e login.

Obrigado.