facebook应用程序多次登录,逻辑错误


facebook app multiple login, logical bug

我有这个脸书应用程序可以在我的网站上显示fb通知。然后我遇到了这个问题,假设两个用户Alice&上下快速移动爱丽丝是我网站的常客,她把它推荐给了鲍勃。她让他用自己的笔记本电脑在我的网站上注册。当bob尝试添加应用程序时,Alice的fb通知出现了。事实上,当Bob点击登录链接时,由于alice已经登录到facebook,它只是提取了她的详细信息(同一会话),如何解决这种情况,我们必须让alice从facebook注销并让Bob登录吗,类似于"alice已经登记,以不同用户身份登录",有人能提出一些解决方案和如何做到这一点吗?

以下是我用于登录的代码

        require_once('sdk/src/facebook.php');
        $facebook = new Facebook(array(
          'appId'  => 'xxxxxxxxxxxxxxxx',
          'secret' => 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx',
          'cookie' => true
        ));

        // Get User ID
        $user = $facebook->getUser();

        // Login or logout url will be needed depending on current user state.
        if ($user) {
          $logoutUrl = $facebook->getLogoutUrl();
        } else {
          $loginUrl = $facebook->getLoginUrl();
        }

        //check permissions list
        if ($user) {
            $permissions_list = $facebook->api('/me/permissions','GET', array('access_token' => $access_token));

             //check if the permissions we need have been allowed by the user
            //if not then redirect them again to facebook's permissions page
            //
            $permissions_needed = array('manage_notifications','publish_stream', 'read_stream');
            $login_url_params = array(
                        'scope' => 'manage_notifications,publish_stream,read_stream',
                        'fbconnect' =>  1,
                        'display'   =>  "page",
                        'next' => 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']
                    );
            foreach($permissions_needed as $perm) {
                if( !isset($permissions_list['data'][0][$perm]) || $permissions_list['data'][0][$perm] != 1 ) {
                    $login_url_params = array(
                        'scope' => 'manage_notifications,publish_stream,read_stream',
                        'fbconnect' =>  1,
                        'display'   =>  "page",
                        'next' => 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']
                    );
                    $login_url = $facebook->getLoginUrl($login_url_params);
                    echo $login_url;
                    header("Location: {$login_url}");
                    exit();
                }
            }               
            //if the user has allowed all the permissions we need,
            //get the information about the pages that he or she managers
            $accounts = $facebook->api(
                '/me',
                'GET',
                array(
                    'access_token' => $access_token
                )
            );              
        } 
          else {
            //if not, let's redirect to the ALLOW page so we can get access
            //Create a login URL using the Facebook library's getLoginUrl() method
            $login_url_params = array(
                'scope' => 'manage_notifications,publish_stream,read_stream',
                'fbconnect' =>  1,
                'display'   =>  "page",
                'next' => 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']
            );
            $login_url = $facebook->getLoginUrl($login_url_params);
            //redirect to the login URL on facebook
            $facebook_login = $login_url;
             echo "<a href='$login_url'>Login Facebook</a>";

最好的做法是:

  1. 当用户来到您的网站时,请使用Javascript SDK和FB.getLoginStatus方法检测他们是否登录到Facebook,以及他们是否对您的应用程序进行了身份验证
  2. 如果他们没有获得授权,请使用"权限"对话框提示他们,并鼓励他们注册
  3. 如果他们被授权并登录到FB,那么自动将他们登录到你的网站。为了避免爱丽丝/鲍勃的困惑,在你的网站上的某个地方显示一个指示器,表明他们已经以"爱丽丝"的身份登录,也许下面有一个链接,上面写着"不是你吗?"?单击此处以其他人或类似身份登录
  4. 如果他们单击此链接,或单击您网站上的注销链接,请调用Javascript SDK中的FB.Logout方法,该方法将使该用户的当前访问令牌无效,但也会将他们从Facebook注销

然后,你可以在这之后将他们推回到登录/注册页面,系统会提示他们登录到他们的Facebook帐户。

据我所知,新用户必须将前一个用户从Facebook注销,并首先登录

我们无法控制登录/验证弹出窗口,也无法控制本地存储的Facebook会话数据,所以当Bob点击登录并看到以Alice(不是你?)的身份登录时,他应该点击"不是你吗?"',这将使Alice从Facebook注销,并提示Bob登录,然后进行授权。这是有问题的,因为当Bob离开,Alice去Facebook.com时,她将登录Bob的帐户。

一种可能的解决方案是获取当前登录用户的姓名和个人资料图片,并将其显示在使用Facebook登录按钮旁边。这可能有助于向用户澄清问题。你应该能够在没有经过身份验证的情况下显示这些信息,甚至可以提供自己的链接来注销Facebook。