Facebook的OAuth 2.0身份驗證是否嚴格執行RFC？

Question

我正在努力將FB登錄添加到我的網站。在這個過程中，我想我不妨一般地爲OAuth 2.0握手寫一個快速助手。

在閱讀的OAuth RFC

http://tools.ietf.org/html/draft-ietf-oauth-v2-25#page-7

FB似乎不符合標準。例如;

• 3.3。範圍應該是一個空格分隔的列表，但FB想用逗號分隔。

• 在4.1.1中。授權請求，FB不關心所需的response_type參數。

• 在4.1.3。訪問令牌請求，FB不關心所需的grant_type參數，但更有趣的是，RFC希望參數在主體中發送。

• 並在4.1.4。訪問令牌響應，有效負載的整個格式是不同的。

我對嗎？

與Facebook站點鏈接的OAuth版本2.12也因FB的上述流程文檔而異。

請注意，4.1.3。在2.12中要求在令牌請求中傳遞客戶端ID和祕密，而在2.25版本中這一要求已消失。

Answer 1

所以答案是Facebook不使用OAuth。

Facebook使用自己的假裝OAuth。如果您根據規範編寫OAuth庫，則它不適用於Facebook。