React Native Expo集成Facebook登录：Rails Omniauth适配问题求助

方案1：获取Facebook授权码（Code）传给后端（推荐） #

react-native-fbsdk-next其实支持获取授权码（对应你提到的手动流程里的code），默认返回的是access token，你可以调整登录请求参数，让Facebook返回code后传给Rails后端，让omniauth-facebook走标准的code换token流程：

1. 移动端配置：调用LoginManager.logInWithPermissions时指定responseType为'code'，同时设置与Facebook开发者后台、Rails配置一致的redirectUri：

import { LoginManager } from 'react-native-fbsdk-next';

const loginWithFacebook = async () => {
  const result = await LoginManager.logInWithPermissions(
    ['public_profile', 'email'],
    {
      responseType: 'code', // 关键：请求返回code而非直接token
      redirectUri: 'https://your-rails-app.com/auth/facebook/callback' // 需与后台配置一致
    }
  );

  if (result.isCancelled) return;

  // 将获取到的code传给后端
  fetch('https://your-rails-app.com/auth/facebook/mobile_code', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ code: result.code }),
  });
};

2. Rails后端处理：新增接口接收code，复用omniauth-facebook的client逻辑交换token并获取用户信息：

# routes.rb
post '/auth/facebook/mobile_code', to: 'sessions#mobile_facebook_code'

# sessions_controller.rb
def mobile_facebook_code
  code = params[:code]
  client = OmniAuth::Strategies::Facebook.new(nil, ENV['FACEBOOK_APP_ID'], ENV['FACEBOOK_APP_SECRET']).client
  
  token_params = {
    code: code,
    redirect_uri: 'https://your-rails-app.com/auth/facebook/callback',
    client_id: ENV['FACEBOOK_APP_ID'],
    client_secret: ENV['FACEBOOK_APP_SECRET']
  }
  
  token_response = client.get_token(token_params)
  user_info = client.get('/me', params: { fields: 'id,name,email', access_token: token_response.token }).parsed

  # 后续逻辑：查找/创建用户、生成会话等
end

这个方案完全符合Facebook安全流程，既避免了直接传用户信息的风险，又能复用omniauth-facebook的核心逻辑。

方案2：验证移动端Access Token合法性后获取用户信息 #

如果不想改动code流程，可以把移动端拿到的access token传给后端，先验证token有效性，再获取用户信息：

1. 移动端传token：将获取到的AccessToken传给后端：

import { LoginManager, AccessToken } from 'react-native-fbsdk-next';

const loginWithFacebook = async () => {
  const result = await LoginManager.logInWithPermissions(['public_profile', 'email']);
  if (result.isCancelled) return;

  const accessTokenObj = await AccessToken.getCurrentAccessToken();
  fetch('https://your-rails-app.com/auth/facebook/mobile_token', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ access_token: accessTokenObj.accessToken }),
  });
};

2. Rails后端验证并处理：

# routes.rb
post '/auth/facebook/mobile_token', to: 'sessions#mobile_facebook_token'

# sessions_controller.rb
def mobile_facebook_token
  token = params[:access_token]
  # 调用Facebook接口验证token有效性
  debug_response = HTTParty.get(
    "https://graph.facebook.com/debug_token",
    query: {
      input_token: token,
      access_token: "#{ENV['FACEBOOK_APP_ID']}|#{ENV['FACEBOOK_APP_SECRET']}"
    }
  )

  unless debug_response['data']['is_valid'] && debug_response['data']['app_id'] == ENV['FACEBOOK_APP_ID']
    render json: { error: 'Invalid Facebook token' }, status: :unauthorized
    return
  end

  # 验证通过后获取用户信息
  user_info = HTTParty.get(
    "https://graph.facebook.com/me",
    query: { fields: 'id,name,email', access_token: token }
  ).parsed

  # 后续登录/注册逻辑
end

这个方案无需改动移动端登录流程，但需要自行处理token验证和用户信息获取，适合快速落地的场景。

方案3：自定义OmniAuth策略适配移动端Token #

如果想完全复用OmniAuth框架，可以自定义策略，让它支持接收移动端传来的access token：

# lib/omniauth/strategies/facebook_mobile.rb
module OmniAuth
  module Strategies
    class FacebookMobile < Facebook
      def callback_phase
        @access_token = request.params['access_token']
        return fail!(:invalid_credentials) unless @access_token

        # 验证token有效性
        debug_response = client.get('/debug_token', params: {
          input_token: @access_token,
          access_token: "#{client.id}|#{client.secret}"
        }).parsed

        return fail!(:invalid_credentials) unless debug_response['data']['is_valid'] && debug_response['data']['app_id'] == client.id

        # 获取用户信息
        @user_info = client.get('/me', params: {
          fields: options[:fields],
          access_token: @access_token
        }).parsed

        super
      end
    end
  end
end

# 注册自定义策略
Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook_mobile, ENV['FACEBOOK_APP_ID'], ENV['FACEBOOK_APP_SECRET'], fields: ['id', 'name', 'email']
end

之后移动端直接把access token传到该策略的回调地址，就能复用OmniAuth的登录流程，适合需要统一Web和移动端登录逻辑的场景。

内容的提问来源于stack exchange，提问作者Philly