Сохранение конфиденциальности при публикации действий в Facebook с помощью Open Graph

Question

Чтобы новый протокол Open Graph заработал, мы запускаем действие, отправляя запрос, который включает URL-адрес объектов в Facebook.

Затем Facebook отправляет своего бота со специальной строкой агента пользователя, чтобы получить информацию ообъект.

Информация, передаваемая на Facebook, может относиться к конкретному пользователю (а не только к книге или рецепту) и, следовательно, должна быть доступна только для пользователя и его друзей.

У меня вопроскроме проверки пользовательского агента (легко подделанного) и использования сложных для угадывания URL-адресов для моих объектов, есть ли способ запретить людям доступ к тому, что по сути является личной информацией (через уникальный URL-адрес объекта)?

Некоторыепримеры объектов, которые могут быть частными ... бег, все, что связано с потерей веса, фотоальбом.

Answer 1

После долгих исследований я смогу ответить на свой вопрос.

Если ваше приложение содержит информацию, которую вы хотели бы сохранить в секрете для тех, кто его создал (например, еженедельное обновление диеты), вы должны убедиться, что URL-адреса вашего объекта Open Graph не являются предположительными. Это означает, что когда вы вызываете API или делаете это через curl ...

curl -F 'access_token=[access_token]' \
-F 'object=http://example.com/[object_url]' \ 'https://graph.facebook.com/me/[namespace]:[action]'

.. вы хотите убедиться, что [object_url] не является предположительным. Хороший способ сделать это состоит в том, чтобы включить идентификатор объекта И некоторый другой неосуществимый хэш / строку.

Приведенные выше шаги гарантируют, что только вы и Facebook когда-либо будете знать, где находится информация об объектах, что позволяет вам передавать ее и даже периодически обновлять. Даже если кому-то удастся получить доступ к одному URL-адресу объекта, он все равно не сможет получить доступ к другим.

Вторая часть проблемы безопасности находится на стороне графика, но, как вы можете видеть из результата нажатия на следующую ссылку, у вас должен быть access_token для просмотра объекта графа приложения, так что это также безопасно и приватно:

http://graph.facebook.com/10150300390106292

Надеюсь, это поможет кому-нибудь в какой-то момент. Это чертовски смутило меня.

Answer 2

Вам нужно будет реализовать «защиту» на вашей стороне. Только авторизованные пользователи должны видеть, чем вы поделились.

В дизайне вашего сайта вы должны учитывать отображение контента на вашем сайте на основе: Вышедший пользователь Пользователь Facebook, а не пользователь вашего приложения Пользователь Facebook, пользователь вашего приложения, но не может видеть весь этот контент Пользователь Facebook, пользователь вашего приложения и разрешено просматривать контент

Таким образом, вы будете правильно обрабатывать каждый сценарий. Вы пользуетесь «защищенными» представлениями, чтобы привлечь новых пользователей, чтобы стимулировать более широкое распространение в вашем приложении.

Когда пользователь «добавляет приложение», он сможет выбрать правила обмена для этого приложения. Вам необходимо убедиться, что вы внедрили модель полномочий, которая подходит для вашего контента и того, как он используется пользователями.