Где начинается сеанс аутентификации в Facebook? - PullRequest
Новая
       9

Где начинается сеанс аутентификации в Facebook?

0 голосов
/ 25 января 2012

Я не понимаю код, который следует после "В следующем примере PHP демонстрируется поток на стороне сервера с защитой CSRF в одном автономном примере:" при http://developers.facebook.com/docs/authentication/, т. Е. Зачем это нужно? Почему session_start (); нужно? Я не понимаю, где начинается или заканчивается работа с сеансом. Как работает защита от CSRF? Почему токен доступа не возвращается сразу после входа пользователя?

1 Ответ

1 голос
/ 25 января 2012

Вы вызываете session_start() один раз в верхней части вашего скрипта, прежде чем что-либо распечатать.

После этого у вас есть доступ к массиву $_SESSION.Это позволяет сохранять значения, например $_SESSION['state'], от одного вызова страницы до другого.

Код в примере показывает CSRF-защиту .При первом вызове tt сохраняет случайное значение в сеансе и затем сравнивает его.

Подробнее о сеансах php .

Обновление Скриптс комментариями.Если вы посмотрите на картинку выше сценария ... Я "отметил" некоторые моменты оттуда. 

   // Set your facebook config here
   $app_id = "YOUR_APP_ID";
   $app_secret = "YOUR_APP_SECRET";
   $my_url = "YOUR_URL";

   // start session to store random state
   session_start();
   // get a code from the request
   $code = $_REQUEST["code"];

   // if no code was send to the script...
   if(empty($code)) {
     // generate a random, unique id and store it the session
     $_SESSION['state'] = md5(uniqid(rand(), TRUE)); //CSRF protection
     // create facebook dialog url
     $dialog_url = "https://www.facebook.com/dialog/oauth?client_id=" 
       . $app_id . "&redirect_uri=" . urlencode($my_url) . "&state="
       . $_SESSION['state'];

     // redirect user to facebook
     // Facebook login and App Permissions request
     // "GET OAuth Dialog"
     echo("<script> top.location.href='" . $dialog_url . "'</script>");
   }

   // CSRF protection: check if state parameter is the same as 
   // we stored it in the session before the redirect
   if($_REQUEST['state'] == $_SESSION['state']) {
     // do facebook auth "GET /oauth/authorize"
     $token_url = "https://graph.facebook.com/oauth/access_token?"
       . "client_id=" . $app_id . "&redirect_uri=" . urlencode($my_url)
       . "&client_secret=" . $app_secret . "&code=" . $code;

     $response = @file_get_contents($token_url);
     $params = null;
     parse_str($response, $params);

     // "GET me?access_token"
     $graph_url = "https://graph.facebook.com/me?access_token=" 
       . $params['access_token'];

     $user = json_decode(file_get_contents($graph_url));
     echo("Hello " . $user->name);
   }
   else {
     echo("The state does not match. You may be a victim of CSRF.");
   }
...